テスト・セキュリティのスキル

TestDinoで探索的テストのセッションを一覧表示・確認・作成・更新するスキルです。担当者やリリース、タグなどで絞り込み、担当の割り当てや状態の変更も行えます。

• プロジェクトのテストセッション一覧確認
• 認証機能の回帰テストを準備したいとき
• メールアドレスで担当を割り当てたいとき

Shodanでインターネットに公開された機器やサービスを調べるスキル。検索・CLI・APIの手順を使い、許可された対象の資産一覧や脆弱性情報を整理します。

• 許可された組織の公開サービス棚卸し
• 既知の脆弱性に関連するサービスの調査
• IoT機器や管理画面の公開状況確認

Playwrightで画面操作やAPI、表示の変化などを検証するテストの設計・実装を支援するスキル。要素の指定、待機、認証、失敗の調査を具体例とともに案内します。

• ログインやフォーム、CRUD操作のテスト作成
• 成功と失敗が揺れるテストの改善
• 表示の変化やアクセシビリティの検証

Webアプリの脆弱性を種類別に整理し、原因・影響・対策を確認するスキル。認証やAPI、設定不備などを横断して学び、点検項目の作成にも使えます。

• 脆弱性の種類と原因を学びたいとき
• Webセキュリティ点検表の作成
• 認証やAPIの弱点を確認したいとき

ブラウザの画面操作やフォーム入力、情報抽出を自動化し、Webアプリの動作確認からスクリーンショット保存、テストコード生成まで支援するスキルです。

• フォーム入力とページ移動の自動化
• Webアプリの動作を確認したいとき
• 画面・動画・PDFの保存

機能追加やバグ修正を、失敗するテストと最小限の実装を一つずつ重ねて進めます。公開インターフェースから振る舞いを確かめ、内部変更に強いテストを育てるスキル。

• 動作を一つずつ確認する機能開発
• 再現テストからバグを修正したいとき
• 公開APIを使う結合テストの設計

ネットワークやWebアプリ、クラウドの脆弱性を調べるために、診断ツールの選定・設定から結果の検証、修正提案を含む報告書作成までを案内するスキル。

• ホストや公開ポートの調査
• Webアプリの脆弱性を調べたいとき
• クラウドの設定を点検したいとき

Webアプリの入力欄やURLパラメータを調べ、SQLインジェクションの有無と影響を検証するスキル。応答の変化や遅延を使う確認から、証拠の記録と修正提案まで扱います。

• フォームやURLのSQLインジェクション検査
• 応答の差や遅延から弱点を調べたいとき
• 合意した範囲で認証回避リスクを検証

Playwrightのテストコードを保守しやすく整理するために、画面ごとに操作をまとめるPOMの構成方法と、fixturesやhelpersとの使い分けを案内するスキル。

• Playwrightのテストコード整理
• POMを導入するか判断したいとき
• POMとfixturesの使い分け

SSHサービスの探索から暗号設定、パスワード・鍵認証、既知の脆弱性、ポート転送までを検証し、診断結果を文書にまとめるスキルです。

• SSHの探索と暗号設定の監査
• パスワードや秘密鍵認証の検査
• SSHの既知の脆弱性と設定不備の確認

CypressやSelenium / WebDriverのテストをPlaywrightへ移す際に、コマンドの対応関係や構成の違いを整理し、段階的な移行を支援するスキル。

• Cypressのテストを移行したいとき
• Selenium / WebDriverの移行
• コマンドとテスト構成の比較

WordPressのバージョン、テーマ、プラグイン、ユーザー情報を調べ、WPScanなどで既知の脆弱性や設定不備、弱い認証情報を検証するスキル。

• 本体・テーマ・プラグインの構成調査
• 既知の脆弱性と設定不備の確認
• 公開ユーザー情報と弱い認証の検証

ソフトウェアのテスト計画から実行記録、不具合の重要度分類、品質指標の集計までを整え、進捗報告や外部QAチームへの引き継ぎを支援するスキル。

• ソフトウェアのQA工程を立ち上げたいとき
• テストケースと不具合報告の標準化
• テスト進捗とリリース基準の確認

SQLMapを使い、Webアプリへの入力がデータベースの不正操作につながる弱点を検証し、テーブル構造や取得可能なデータ、影響を整理するスキル。

• 許可済みWebアプリのSQL注入検証
• データベースとテーブル構造の確認
• 保存したPOSTリクエストの検証

Webアプリの入力欄やURLを調べ、XSSとHTMLインジェクションの弱点を検証します。保存型・反射型・DOM型を分類し、影響の実証と修正案をまとめます。

• コメント欄の保存型XSSを調べたいとき
• 検索語の応答への反映を確認したいとき
• URL入力のブラウザ内処理を追いたいとき

Webアプリのコードを代表的な脆弱性の観点で点検し、問題のあるファイルと行番号、深刻度、具体的な修正コード、対応の優先順位をまとめるスキルです。

• OWASP Top 10に沿った全体点検
• SQL injection・XSSの確認
• 認証とアクセス制御の点検

メール送信サーバーの不正な中継、利用者情報の露出、弱い認証、暗号化設定を点検し、送信元認証の確認から検証結果の報告、設定の改善案までをまとめるスキル。

• メールの無断中継を確認したいとき
• 利用者情報の露出と弱い認証の点検
• TLSとSPF・DKIM・DMARCの確認

Windowsの権限昇格につながる設定不備や脆弱性を調べるスキル。許可された侵入テストで、一般ユーザーから管理者権限へ至る経路の検証と修正提案を支援します。

• Windowsの権限昇格経路を調べたいとき
• サービス権限や保存認証情報の点検
• トークン権限や更新不足の確認

Gitの変更履歴を調べ、変更が集中するファイルや貢献者ごとの関与、秘密情報の混入を確認します。レビュー担当の選定や改修箇所の検討に使えるスキルです。

• 公開前に履歴の秘密情報を確認したいとき
• 変更が多いファイルを優先レビュー
• 変更履歴からレビュー担当を選びたいとき

侵入テストの目的・対象範囲・予算を整理し、環境準備や担当者選定、実施中の監視、発見した脆弱性の修正確認までをチェックリストで支援するスキル。

• 侵入テストの目的と範囲の定義
• テスト環境と監視の準備
• 診断担当者の選定と報告要件の合意

Windowsドメインの侵入テストで、Active Directoryの構成調査から認証情報・権限・証明書設定の検証まで、攻撃経路と使用ツールを整理するスキル。

• Active Directory侵入テストの計画
• BloodHoundによる攻撃経路の調査
• KerberosとNTLMの認証リスク確認

WebアプリのIDやファイル名を変えた際に、他の利用者の情報へアクセスできないかを検証し、権限チェックの不備の証拠と影響、修正案を整理するスキル。

• テストアカウント間の権限を確認したいとき
• 領収書や文書のダウンロード権限の点検
• 問題のあるAPIと証拠の報告

許可された対象のサブドメインや稼働中のサイト、使用技術を調べ、複数ツールを組み合わせた情報収集からXSSなどの脆弱性の検証、報告用の整理までを案内するスキル。

• 許可範囲のサブドメインと稼働サイトの調査
• 使用技術や隠れたAPIの確認
• 情報収集の流れを自動化したいとき

Webアプリが想定外のファイルを読み出せるパストラバーサルの弱点を調べ、入力箇所の特定から検証、影響評価、修正方針の整理まで支援するスキルです。

• ダウンロード機能のパス指定の検証
• サーバー内ファイル取り込みの調査
• Linux・Windowsのファイルアクセス検証