テスト・セキュリティのスキル

認証や決済、APIなどの実装をセキュリティの観点で点検するスキル。入力検証、秘密情報の管理、アクセス権限、依存関係をチェックリストとコード例で確認します。

• 認証とアクセス権限を見直したいとき
• フォームやアップロードを点検したいとき
• 秘密情報や決済ログを確認したいとき

新機能の追加やバグ修正を、テストを先に書く手順で進めるスキル。単体・結合・画面操作のテストを組み合わせ、カバレッジ80％以上を基準に実装と改善を進めます。

• 利用シナリオから新機能を作りたいとき
• バグの再現テストを書いて直したいとき
• テストを保ってコードを整理したいとき

OpenClawの大規模テストや不具合再現をリモート環境で実行し、実際の実行基盤・環境ID・ログ・所要時間を確認して検証結果を報告するスキル。

• OpenClawの大規模テストを実行したいとき
• インストールやDockerの不具合再現
• macOS・Windows・WSL2での動作確認

mirrordで動かすアプリの外向きTCP通信に遅延や接続エラーを加え、障害時の動作を調べるためのルール作成・管理とCIへの組み込みを支援します。

• データベース接続の遅延を再現したいとき
• タイムアウト時の再試行処理の検証
• CIで障害条件付きの結合テスト

CIで動かすアプリをmirrordで実際のKubernetes環境につなぎ、結合テストやE2Eテストのワークフロー作成、接続設定、終了処理を支援します。

• stagingで結合・E2Eテストを回したいとき
• GitHub ActionsやGitLab CIに組み込みたいとき
• CIランナーのクラスタ接続を設定したいとき

DeFiのスマートコントラクトを対象に、会計状態の不整合や権限漏れなど10分類の弱点を調べ、監査対象の選定からFoundryでの再現検証まで支援するスキル。

• DeFi監査対象の優先順位を決めたいとき
• 関連関数の状態更新を比較したいとき
• 価格情報と資産管理処理の点検

Webサイトのサブドメインや稼働中のホスト、URLを収集し、調査対象を整理するスキル。JavaScript解析やAPI仕様の探索、変更の継続監視も扱います。

• Webサイトの公開資産を棚卸ししたいとき
• APIや認証関連URLの調査優先順位付け
• JavaScript内の接続先や秘密情報の確認

インターネットに公開されたVMware製品の管理画面を対象に、バージョンと既知の脆弱性、認証設定、情報公開の状態を調べ、診断結果を整理するスキルです。

• 公開されたVMware製品のバージョン確認
• 修正状況と既知の脆弱性の照合
• SSO情報や管理画面の公開状態の点検

脆弱性の報告前に、再現性・対象範囲・実際の被害・既知の問題を点検し、提出すべき発見か、主張する深刻度に証拠が見合うかを整理するスキル。

• 発見を報告してよいか判断したいとき
• 認証回避に見える挙動の再確認
• 実証した影響と深刻度の照合

公開コードやビルド成果物、コンテナから依存関係やCI/CDの弱点候補を調べ、内部パッケージ名の露出と設定情報を基に悪用の可能性を整理する調査用スキル。

• 内部パッケージ名の露出調査
• 公開GitHub Actionsの設定点検
• 公開コンテナ内の秘密情報の点検

Web脆弱性の検証に使うテスト入力やフィルター回避例を、種類別に参照するスキル。URL分類用のパターン名、探索用の語句一覧、影響を確認する組み合わせも扱います。

• インジェクション検証用の入力選び
• 認証や多要素認証の回避パターン確認
• URL分類や探索用の語句一覧の選定

検証済みの脆弱性を、HackerOneなどの提出先に合う報告書へまとめ、具体的な影響・再現手順・証拠・深刻度・修正案を読み手に伝えるスキル。

• 提出先に合う報告書を作りたいとき
• タイトルと影響の説明を整えたいとき
• 再現手順と証拠の整理

企業向けのレッドチーム診断結果を、観測事実・事業への影響・修正案・再現手順に整理し、証拠画像を含む顧客提出用の報告書にまとめるスキルです。

• 企業向け診断の最終報告書作成
• 技術者と非技術者への結果説明
• 証拠画像付きDOCXの作成

許可されたレッドチーム演習で、アクセス獲得や影響の実証を目標に、検証の優先順位、証拠の保存、関連アプリへの確認、収集データの最小化を整理するスキル。

• 許可されたレッドチーム演習の準備
• 再現に失敗した指摘の再評価
• 関連アプリに共通する弱点の確認

セキュリティ調査の収集結果から、対象組織の資産と同名の別組織の資産を証拠に基づいて仕分けし、Web検出の誤検知や重大度の件数を見直すスキル。

• 検査前に資産の所有者を確認したいとき
• 同名の別組織の資産を除外したいとき
• 重大な検出件数を見直したいとき

公開情報を使い、組織の外部公開資産や関連情報を調査する手順を整理します。証拠の出典と確信度を記録し、公開状態のリスク評価や顧客向け報告につなげるスキルです。

• 組織の外部公開資産の把握
• 調査証拠の出典と確信度の管理
• 限られた調査時間での優先順位付け

Oktaを使う企業の認証環境を対象に、テナントの特定から多要素認証や連携アプリの設定確認まで、許可されたセキュリティ検証の観点と手順を整理するスキル。

• 企業アプリのOktaテナントを特定したいとき
• 多要素認証の設定を点検したいとき
• OIDC・SAML連携の設定確認

許可された外部調査で、公開資産やAPI、漏えいした認証情報を探すための技術資料を提供するスキル。検索式や確認手順を参照し、証拠と深刻度を整理します。

• 公開サブドメイン・API・ストレージの調査
• APIキーなどの漏えいを調べたいとき
• SSOとMicrosoft 365の公開状況調査

許可された侵入テスト中の応答やロック状態の変化を記録・比較し、防御側の対策や別の攻撃活動の兆候を調べ、時系列の証拠として報告にまとめるスキルです。

• 確認済みの脆弱性が再現しなくなったとき
• 防御対策を示す応答変化の記録
• 新たに発生したアカウントロックの調査

EVMとSolanaのミームコインを対象に、隠れた追加発行や売却制限、流動性の引き出しにつながる権限を調べ、投資前のリスク確認やトークン監査を支援します。

• 投資前にトークンのリスクを調べたいとき
• Solanaの発行・凍結権限の確認
• 流動性プールのロック検証

Microsoft 365とEntra IDの認証診断で、利用者の存在やログイン応答、条件付きアクセスの制限を確認し、試行回数と証拠を管理するスキルです。

• 関連ドメインのテナント調査
• 認証エラーとアクセス制限の分類
• 認証テストの試行回数管理

iOSアプリの配布ファイル取得から内部解析、通信や動作中の検証までを案内し、埋め込まれた認証情報、通信設定、アプリ連携の問題を調べるスキルです。

• iOSのバグバウンティ調査
• IPA内の認証情報とAPIの探索
• ATS設定とアプリ通信の検証

XMLを扱うAPIやファイルアップロードのXXE脆弱性を調べ、外部通信の記録やファイル読み取りの証拠から、実際の影響と再現手順を整理するスキル。

• XML APIの外部参照処理を調べたいとき
• SVGやOffice文書の取込機能の調査
• 応答に現れないXXEを確認したいとき

Webページへの入力が不正なスクリプトとして動くXSSを調査します。反射型・格納型・DOM型の確認から、実ブラウザでの再現、利用者への影響の整理までを支援するスキルです。

• 検索欄やURLパラメータの表示確認
• Wikiやプロフィールの保存内容の検証
• 入力を画面へ挿入するJavaScriptの監査