テスト・セキュリティのスキル

Webページの通信とJavaScriptの実行を調べ、署名や暗号化パラメータの生成経路を特定し、観測した証拠を基にNode.jsでのローカル再現へ進めるスキル。

• リクエスト署名の生成経路を調べたいとき
• 通信を発生させるコードの特定
• 関数の引数と戻り値の採取

Chatboxの大容量添付ファイルへの質問で、必要な検索が呼ばれ、無関係な依頼では呼ばれないかを、合成文書と実文書で評価・調査するスキル。

• 大容量添付への質問で検索を確認したいとき
• 検索を明示しない質問を試したいとき
• 無関係な依頼で検索しないか確認したいとき

システムの設計をSTRIDEの6分類で点検し、なりすましや情報漏えいなどの脅威を洗い出します。対策の検討やセキュリティ文書の作成にも使えます。

• 脅威分析の会議を始めたいとき
• 既存システムの設計を点検したいとき
• 脅威と対策を文書化したいとき

シェルスクリプトの自動テストをBatsで作成します。終了コードや出力、異常時の挙動を確認し、複数シェルでの動作検証やCI/CDへの組み込みまで支援します。

• シェルスクリプトへの自動テスト追加
• 不正入力やファイル欠落時の検証
• bash・sh・dashでの動作確認

Claude Codeのツール呼び出しを実行前に判定し、実行後に署名付き記録を残す仕組みを学ぶスキル。導入手順からオフライン検証、改ざん検知まで確認できます。

• 実行時フックの導入前に監査記録を評価
• オフライン検証と改ざん検知の実演
• CI/CDで操作記録を検証したいとき

ネットワーク通信を記録・解析し、独自プロトコルのメッセージ構造や各項目を調べます。通信障害の調査から、仕様書の作成、再送や異常な入力による検証までを支援します。

• ネットワーク通信障害の調査
• 独自の通信形式を理解したいとき
• プロトコル仕様書の作成

攻撃者の目的から実行手順を枝分かれする図に整理し、防御の抜けや対策の優先度を検討するスキル。費用・時間・必要な技術などを添え、リスクの説明にも使えます。

• 複雑な攻撃シナリオの可視化
• 防御の抜けと優先順位の検討
• 関係者にリスクを説明したいとき

AIが生成したコードに潜む不具合や保守上の問題を点検するスキル。失敗時の処理、解放されない接続、想定外の入力、存在しない依存先、既存設計とのずれを確認します。

• AIによるコード生成後の点検
• AIが作成したPRのマージ前レビュー
• 動くが壊れやすいコードの調査

洗い出したセキュリティ上の脅威と対策を対応づけ、予防・検知・復旧の観点から不足を整理。対策の優先順位や改善計画、多層防御の設計を支援するスキル。

• セキュリティ投資の優先順位づけ
• セキュリティ対策の改善計画づくり
• 既存の防御策の抜け漏れ確認

Claude CodeによるPRレビューやマージ、CI設定の変更に人の承認を挟み、許可された操作の署名付き記録を検証できる仕組みを設定するスキル。

• PRレビューやマージに承認を挟みたいとき
• Issue操作やリリース公開の承認管理
• CI変更や保護ブランチへのpushの承認管理

ソースコードから脆弱性を探す静的解析ツールを導入し、開発時の自動検査、独自ルールの作成、誤検知の調整、問題の重大度に応じた判定基準の設定を支援するスキルです。

• CI/CDにセキュリティ検査を追加したいとき
• 独自のコード検出ルールを作りたいとき
• 誤検知やスキャン時間を減らしたいとき

シェルスクリプトを実行せずに問題を調べるShellCheckの設定と警告の読み解きを支援し、対象シェルに合う検査やCI・エディターへの組み込みを整理します。

• 既存シェルスクリプトの問題調査
• CI/CDへのスクリプト検査の追加
• 対象シェルに合う検査設定

想定される脅威と事業の背景から、検証可能なセキュリティ要件を整理するスキル。優先度や根拠を明確にし、ユーザーストーリーや受け入れ基準、テスト項目につなげます。

• 脅威モデルから要件を整理したいとき
• ユーザーストーリーと受け入れ基準の作成
• セキュリティテスト項目の作成

メモリの保存データからプロセスや通信、不審なコードを調べ、侵害調査を支援。RAMの取得からVolatilityによる解析、証拠の抽出と記録まで扱います。

• 調査対象の電源を切る前にRAMを保存したいとき
• 不審なプロセスや通信を調べたいとき
• マルウェア解析用のファイルや文字列の抽出

スキルやプラグインの品質を測るPluginEvalの評価項目、配点、減点条件を読み解き、低スコアの改善方針や掲載基準、バッジの説明を整理するスキル。

• スキルの低スコアの原因を調べたいとき
• スキルを呼び出す条件の説明を改善したいとき
• マーケットの掲載点数基準を決めたいとき

実行ファイルの解析を妨げる保護や難読化を調べるスキル。許可されたセキュリティ調査やCTFで、保護手法の特定、解析のための回避方針、報告書やコードの作成を支援します。

• 許可された検体の保護機構の特定
• パックされた実行ファイルの解析準備
• CTF用のデバッガー検出の実装

Pythonのテストをpytestで作成・整理し、外部サービスや時刻に依存する処理も検証します。共通の準備処理やモック、カバレッジ計測を使ったテスト整備に役立ちます。

• Pythonの単体・結合テストの追加
• 外部サービスをモックに置き換えるとき
• 再試行や時刻に依存する処理の検証

Claude Codeのツール実行をCedarの許可ルールで制御し、実行したツール名を電子署名付きで記録して、オフラインで検証するための設定を支援します。

• Claude Codeの実行権限を制限したいとき
• ツール名を署名付きで記録したいとき
• 公開鍵で記録をオフライン検証したいとき

決済システムのカード情報保護を、PCI DSSの要件に沿って設計・実装するスキル。暗号化やログのマスキング、カード番号を代替値に置き換える方法を扱います。

• 安全な決済フローの設計
• カード情報をトークン化したいとき
• ログや保存データの機密情報点検

Kubernetesの通信制限、Podの実行条件、役割に応じたアクセス権限を設定し、複数の防御策を組み合わせたセキュリティポリシーを整えるスキル。

• アプリの構成要素間の通信を制限したいとき
• ServiceAccountの権限を絞りたいとき
• Podの実行権限を制限したいとき

JavaScript・TypeScriptのテスト作成と環境整備を支援します。関数や画面、APIの検証から、外部依存の置き換え、テストデータの準備まで扱います。

• 新規プロジェクトのテスト環境整備
• 関数やAPIのエラー処理の検証
• Reactの画面動作の確認

PlaywrightやCypressで利用者の一連の操作を確かめるE2Eテストを整備し、不安定なテストの調査や重要な画面操作の自動検証を支援するスキル。

• ログインや購入のテスト自動化
• 不安定なテストを調査したいとき
• CI/CDでブラウザテストを実行

Solidityのスマートコントラクトを対象に、再入攻撃や数値の桁あふれ、権限管理の不備を点検し、安全な実装パターンとセキュリティテストを整えるスキル。

• 既存コントラクトの脆弱性点検
• 再入攻撃を防ぐ出金処理の実装
• 桁あふれや権限制御のテスト

WebサイトをWCAG 2.2に沿って点検し、自動テストと手動確認を組み合わせて、操作や読み取りを妨げる問題の特定と修正を支援するスキル。

• サイトのアクセシビリティ監査
• キーボード操作とラベルの確認
• コントラストや見出しの修正