本番前セキュリティ監査
指定されたリリースの、意思決定に役立つセキュリティアセスメントを生成します。何を調査したか、証拠が何を裏付けているか、何が不明のままか、各問題の修復方法と検証方法を説明します。レポートの言語は、ユーザーが他の言語を要求しない限り、デフォルトで英語とします。
現在のホストで利用可能で許可された機能のみを使用します。バンドルされた参照は、このスキルフォルダを基準に解決します。ローカルファイルアクセス、シェル/スキャナ、ブラウジング、コネクタ、委任は想定しません。機能が利用できない場合は、提供された証拠を確認し、U-### のギャップを記録します。要求されたファイルシステムの保存先に書き込めない場合は、レポートをダウンロード可能なアーティファクトまたはMarkdownテキストとして提供し、その配信制限を明記します。
チェックを選択する前に調整する
- 要求された評価、対象となるリリースまたはコミット、デプロイメントターゲット、利用可能な証拠、既存の承認を特定します。ユーザーの範囲と以前の回答を保持します。
- スコーピング質問を読んでください。リポジトリレビューがまだ要求されていないか、明確に含まれていない場合は、リポジトリの内容を調査する前に Q-00 を解決します。リポジトリまたはコードを監査するという要求は、すでにこれに回答しているため、再度尋ねないでください。ユーザーがリポジトリレビューを除外した場合は、選択されたドキュメント/設定/ランタイム証拠に基づいて作業し、その制限を記録します。
- プロジェクトコードを実行せずに、スコープ内のプロジェクトメタデータとドキュメントのみを検査します。事実は、推論やユーザーの発言とは別に記録します。残っている重要な質問の短いバッチを尋ね、製品、露出、ホスティング、ID、データ、および利用可能なアクセスによって分岐します。待機中は、独立して許可された作業を続けます。未解決のスコープの選択に対して、沈黙は回答にはなりません。
- スコープスナップショット、選択されたモジュール、該当するコントロールID、許可されたチェック、未解決の質問をレポートに記録します。回答によってスコープが変更された場合は、このスナップショットを更新します。
関連するモジュールにルーティングする
常に監査手法と所見と優先順位を使用します。モジュールの詳細は、その表面が存在するか、調査が必要な場合にのみロードします。単に存在するという理由だけで、すべてのモジュールをロードしないでください。
35ドメインカバレッジマップを使用して、元の評価領域をコントロールIDに関連付けます。ツール支援チェックがスコープ内にある場合は、スキャナ実行手順に従って、Gitleaks、Semgrep CE、Trivy、ZAPを使用します。証拠と可用性に基づいてツールを選択し、実際の実行、エラー、省略を記録します。手動のみのリクエストでは、スキャナはアクティブになりません。
依存関係インベントリについては、まずターゲットにマッチしたSBOMを再利用し、生成が必要で許可されている場合はTrivyを使用します。ネイティブパッケージグラフ、Syft、およびソースインポート分析はオプションの補足です。同じリファレンスのインベントリ手順に従います。パッケージの関係は、コードインポートやランタイムの関係とは別に保持します。
| 表面 | モジュール | ルーティングガイダンス |
|---|---|---|
| すべての評価 | アーキテクチャ | アセット、信頼境界、重要なアクション、露出、責任を確立します。 |
| アカウント、権限、テナント、セッション、またはサービスID | IDとアクセス | 製品にログインがなくても、インフラストラクチャIDを含めます。 |
| Webインターフェース、API、ワーカー、ファイル、または統合 | アプリケーションとAPI | 実際の入力、出力、プロトコル、ビジネスパスに合わせてコントロールを選択します。 |
| データ、認証情報、暗号、データベース、またはストレージ | データとシークレット | 個人データが存在しない場合でも、認証情報とメタデータを含めます。 |
| デプロイされたサービスまたは計画されたデプロイメント | インフラストラクチャとデプロイメント | プロバイダーとデプロイメントモデルに一致させます。意図された設定と観測されたランタイムを区別します。 |
| ソース、依存関係、ビルド、またはリリースプロセス | サプライチェーン | リポジトリレビューが含まれている場合は、発見されたCI/CD定義、そのスクリプト/テンプレート、信頼の移行、およびデプロイメントゲートを、2回目の許可質問を待たずに検査します。有効なプラットフォーム設定は、別の証拠ソースのままです。 |
| サービスが運用に入っている、またはまもなく入る | 運用と復元力 | 検出、回復、インシデント対応、可用性、および所有権を評価します。 |
| LLM、RAG、AIツール、エージェント、またはMCP | AIとエージェント | モデル入力、データアクセス、委任された権限、出力、リソース制限をレビューします。 |
| モバイル、デスクトップ、またはブラウザ拡張クライアント | モバイルとデスクトップ | プラットフォームセクションを選択し、バックエンドは別途監査します。 |
産業用機器やカスタムハードウェアなど、サポートされていない専門的な表面については、カバレッジの制限と必要な専門家によるレビューを文書化します。ソフトウェアモジュールがそれらを完全に評価することを示唆しないでください。
調査と記録
- 監査手法の証拠、許可、実行ルールに従います。監査リクエストは、分析とレポート作成を許可しますが、本番環境の変更、破壊的なプローブ、または機密性の高い結果の公開を自動的に許可するものではありません。
- リポジトリレビューは、合意されたファイル、ソースパス、マニフェスト、関連する履歴、およびCI/CD定義をカバーします。ハードコードされたシークレット、安全でないフォールバック値、環境固有の宛先、固定されたセキュリティ/IDポリシーが含まれます。より狭いパス/履歴の除外を尊重します。セキュリティ上の結果なしに、通常の定数を脆弱性としてラベル付けしないでください。
- 作業中は、証拠台帳、コントロールマトリックス、所見、未知の事項、監査パスの端、依存関係の端を維持します。すべての重要な主張を、正確なソースの場所または観測結果、および検査されたバージョン/環境に結び付けます。
- スキャナ出力は、文脈化されるまではリードとして扱います。確認された欠陥またはリリースへの影響を割り当てる前に、関連する呼び出し元、ガード、データパス、設定、およびデプロイメントの前提をトレースします。
- インベントリ後、サプライチェーンモジュールの集中型の最新アドバイザリトリアージ（SC-003）を適用し、重要なコンポーネント、既知の悪用または重要/高の問題を優先します。正確なパッケージ/バージョンの一致、日付のあるソース、確認された修正、ローカルでの露出、照会されたカバレッジを記録します。オフラインまたは失敗したルックアップは、明示的なギャップとして残ります。
- カバレッジ、所見、修復、グラフで同じコントロールIDを使用します。影響を受ける表面を保持しながら、同じ根本原因を持つ所見を重複排除します。
- 長いレビューの場合は、サポートされている場合、独立したモジュールを委任します。各レビューアにスコープとID割り当てを提供し、レポートを作成する前に、共有された信頼境界と矛盾する主張を調整します。
- アクセスまたはツールが利用できない場合は、制限を記録して有用な作業を続けます。失敗したチェックは、合格したチェックではありません。未知のコントロールは、該当なしではありません。
レポートを提供する
レポートテンプレートを使用します。デフォルトでは、ユーザーが別の保存先を指定しない限り、監査対象プロジェクト内の security-audits/<YYYY-MM-DD>-<revision-or-target>/security-audit.md に新しいファイルを作成します。その保存先が既に存在する場合は、競合しないサフィックスを使用します。ターゲットレポートをこのスキル内に保存したり、以前の評価を上書きしたり、要求されない限りレポートをコミット/アップロードしたりしないでください。
必須のMermaid図を2つ含めます。
- 分析パスグラフ: スコープとアーティファクトから、実行されたチェック、所見、サポートされた結論、ギャップに至るまでの、観測可能な監査証跡。何が検査され、チェックがどこで停止したかを示します。これは証拠マップであり、プライベートな推論や発明された時系列ではありません。
- 分析された依存関係グラフ: 検査されたコンポーネント、パッケージ依存関係、サービス、IDシステム、ストレージ、外部統合。明示的なエッジタイプ、証拠参照、検査カバレッジを含みます。重要な未検査の境界は、そのように含めます。
台帳から、監査手法のグラフ契約を使用してグラフを構築します。Mermaidレンダリングがなくてもレポートが使用可能なように、ノード/エッジテーブルを含めます。大きな依存関係マップは、依存関係セクションの下で、ランタイム/サービス、パッケージ/ビルド、またはCI/CD信頼関係ごとに分割します。レビューされたパイプラインについては、トリガー/入力 → ジョブ → ランナー/ID → アーティファクト → 環境を示し、実際のゲート、信頼境界、未検査の設定を区別します。
レポートには、優先順位付けされた修正計画、所有者または未割り当てのロール、修正間の依存関係、受け入れテスト、残存リスク、未解決の決定が含まれている必要があります。所見ルールを使用して、制限付きのリリース準備推奨事項を述べます。このスキルは、デプロイメントを承認したり、コンプライアンスを認証したりするものではありません。
最終品質チェック
- スコープ、リビジョン、証拠リンク、コントロールステータス、およびすべての所見/未知のIDが、テキスト、テーブル、グラフ、計画全体で一致していることを確認します。
- グラフのエッジの方向とラベルを確認します。宣言、観測された動作、推論、利用できない証拠を明確に区別します。テンプレートのサンプルデータをすべて削除します。
- 認証情報、個人データサンプル、機密性の高いプロンプトコンテンツ、またはプライベートインフラストラクチャ識別子が不必要に開示されていないことを確認します。
- すべての所見には、具体的な修正と検証基準が必要です。すべての重要な未知の事項には、次のアクションとリリース決定への影響が必要です。
- どのチェックが実際に実行されたか、どのチェックが失敗またはスキップされたか、図がレンダリングされたか、構文のみがレビューされたかを明記します。発生しなかったテスト、レンダリング、またはランタイム検証を決して主張しないでください。
- ファイルの場所、主要なリリースブロッカー、カバレッジ制限を簡潔に提供します。修正の実装は、リクエストに既に含まれていない限り、許可されたフォローアップに任せます。