claude-security-audit は何をしますか？
OWASP Top 10 チェック、自動依存関係スキャン、詳細な脆弱性レポートを使用して、Webアプリの包括的なセキュリティ監査を実行します。
概要
このスキルは、AIエージェントがWebアプリケーションのセキュリティ監査を自動的に実行できるようにします。OWASP Top 10 の脆弱性をチェックし、依存関係のスキャンを行い、実用的な推奨事項を含む詳細なレポートを生成します。
使用方法
- 依存関係のインストール: 必要に応じて、
pip install -r requirements.txtまたはnpm installを実行します。 - 監査の実行: 以下のコマンドのいずれかを使用して監査を開始します。
python audit.py --target <url>：標準監査を実行します。python audit.py --target <url> --full：フル監査（より深いチェック）を実行します。
- レポートの確認: 生成された
security_report_<timestamp>.mdファイルを確認します。
機能
- OWASP Top 10 チェック: SQLインジェクション、XSS、認証の欠陥など、主要な脆弱性をテストします。
- 依存関係スキャン:
package-lock.json、yarn.lock、requirements.txtなどのファイルを解析し、既知の脆弱性を特定します。 - 詳細なレポート: 各脆弱性の説明、CVSSスコア、影響を受けるコンポーネント、推奨される修正方法を含むMarkdownレポートを生成します。
- カスタムルール: 独自のセキュリティルールを
rules/ディレクトリに追加できます。
設定
環境変数を使用して設定をカスタマイズできます：
| 変数 | 説明 | デフォルト値 |
|---|---|---|
AUDIT_TIMEOUT | リクエストのタイムアウト（秒） | 30 |
AUDIT_DEPTH | 再帰チェックの深さ | 2 |
AUDIT_OUTPUT_DIR | レポートの出力ディレクトリ | ./reports |
例
# 基本監査
python audit.py --target https://example.com
# フル監査（より詳細なチェック）
python audit.py --target https://example.com --full
# 特定のチェックのみを実行
python audit.py --target https://example.com --checks xss,sqli
制限事項
- このツールは自動化されたスキャンを提供しますが、手動によるセキュリティレビューを置き換えるものではありません。
- 一部のチェックでは、アプリケーションの応答時間が遅くなる可能性があります。
- 認証が必要なページの完全なスキャンには、セッションクッキーまたはAPIトークンの提供が必要な場合があります。
ライセンス
MIT