テスト・セキュリティのスキル

REST・SOAP・GraphQLのAPIを調べ、認証やアクセス権限、入力処理の弱点を検証し、発見した脆弱性と再現の証拠を整理するスキルです。

• 診断対象のAPI呼び出し先の探索
• 他ユーザーのデータ参照可否の検証
• GraphQLの構造と処理の点検

Azure・AWS・GCPの認証や権限、設定不備を検証し、クラウド資産の棚卸しから秘密情報の露出確認、リスク評価と改善提案までを支援するスキル。

• クラウド資産と権限の棚卸し
• 認証情報の露出を確認したいとき
• 設定不備の影響を検証したいとき

WebアプリのIDやファイル名を変えた際に、他の利用者の情報へアクセスできないかを検証し、権限チェックの不備の証拠と影響、修正案を整理するスキル。

• テストアカウント間の権限を確認したいとき
• 領収書や文書のダウンロード権限の点検
• 問題のあるAPIと証拠の報告

許可された対象のサブドメインや稼働中のサイト、使用技術を調べ、複数ツールを組み合わせた情報収集からXSSなどの脆弱性の検証、報告用の整理までを案内するスキル。

• 許可範囲のサブドメインと稼働サイトの調査
• 使用技術や隠れたAPIの確認
• 情報収集の流れを自動化したいとき

PlaywrightでWebアプリの操作やAPI、画面の見た目を検証するテスト作成を支援します。不安定なテストの修正から、継続的に自動実行する環境の設定まで扱います。

• ログインやフォーム操作のテスト
• API・画面差分・使いやすさの検証
• 時々失敗するテストを直したいとき

Burp SuiteでWebアプリの通信を捕捉・変更し、再送して応答を比較するスキルです。検査対象の設定から手動検証、自動スキャン結果の確認まで案内します。

• プロキシを設定してWeb通信を確認
• Repeaterで変更したリクエストを再送
• アクセス制御や価格処理の検証

Webアプリが想定外のファイルを読み出せるパストラバーサルの弱点を調べ、入力箇所の特定から検証、影響評価、修正方針の整理まで支援するスキルです。

• ダウンロード機能のパス指定の検証
• サーバー内ファイル取り込みの調査
• Linux・Windowsのファイルアクセス検証

侵入テストの目的・対象範囲・予算を整理し、環境準備や担当者選定、実施中の監視、発見した脆弱性の修正確認までをチェックリストで支援するスキル。

• 侵入テストの目的と範囲の定義
• テスト環境と監視の準備
• 診断担当者の選定と報告要件の合意

AWS環境の侵入テストで、IAMの権限やS3、EC2、Lambdaの設定を調べます。権限昇格の経路や認証情報の露出を検証し、監査の指摘事項を整理するスキルです。

• IAMの権限昇格経路を調べたいとき
• S3のアクセス権と公開状況の点検
• EC2の認証情報の露出を確認したいとき

コード内の秘密情報、依存パッケージの既知の脆弱性、SQLインジェクションなどの危険な記述をまとめて調べるスキル。検出箇所と重大度をテキストやJSONで報告します。

• 公開前に依存関係の脆弱性を確認したいとき
• APIキーやパスワードの混入検出
• コードの典型的なセキュリティ不備の点検

Windowsドメインの侵入テストで、Active Directoryの構成調査から認証情報・権限・証明書設定の検証まで、攻撃経路と使用ツールを整理するスキル。

• Active Directory侵入テストの計画
• BloodHoundによる攻撃経路の調査
• KerberosとNTLMの認証リスク確認

HTTPサービスへの同時接続数を段階的に増やし、応答時間や処理量、エラー率を測定して、性能が悪化し始める地点と推奨する同時接続数を示します。

• APIの負荷耐性を測定したいとき
• p99が悪化する接続数の調査
• 処理量の頭打ちとエラー増加の確認

LinuxやWindowsで一般ユーザーから管理者権限に至る経路を調べ、権限設定やサービス、認証の弱点を検証する手法と使用ツールを整理するスキル。

• Linuxの権限設定の点検
• Windowsのサービスや権限の検証
• Active Directoryの権限経路調査

許可を得たシステムの侵入テストを、事前調査から脆弱性の検証、報告書作成まで進めるためのスキルです。各段階の手順と主要ツールの使い方を学べます。

• 侵入テストの全体像を学びたいとき
• 許可済み診断の調査とスキャンを計画
• 脆弱性の検証結果と証拠の整理

Webアプリのログインやセッション管理を点検し、パスワード、多要素認証、再設定手順の弱点を調べ、検証結果と改善策を報告書にまとめるスキル。

• パスワード条件と試行制限の点検
• セッション期限とログアウトの検証
• 多要素認証と復旧手順の評価

claude-flow v3のセキュリティ設計を見直し、依存パッケージ、パスワード保存、認証情報、入力検証、コマンド実行の対策とテストを整えるスキル。

• セキュリティ境界と脅威の整理
• 依存パッケージの更新と監査
• パスワード保存と認証情報生成の見直し

コードやエージェントの成果物を検証し、信頼性を数値で確認するスキル。基準を満たさない変更の自動取り消しや、品質推移の監視、レポート出力も扱います。

• AIが生成したコードを検証したいとき
• 検証に失敗した変更を戻したいとき
• 品質の推移を把握したいとき

一定期間の利用者の声や稼働データ、エラー、開発工程の失敗を横断して調べます。繰り返す問題の共通原因を探り、根拠と検証方法を伴う改善案にまとめるスキルです。

• 利用者の声と稼働記録を横断調査したいとき
• 過去の修正後に再発した症状の調査
• 関連機能に共通する原因の特定

BBの機能変更後に、独立した開発環境で画面操作とCLIによる状態確認を行い、対象の操作手順ごとに検証結果や未実施・阻害要因を証拠とともに記録するスキル。

• BBの機能変更後の動作確認
• 主要な画面操作を簡易検証したいとき
• ソース変更と検証項目の照合

APIキーなどの認証情報を専用フォームで受け取り、指定したdotenvファイルへ保存するスキル。値をチャットやエージェントの出力に表示せず、複数の変数をまとめて設定します。

• .env.localにAPIキーを設定したいとき
• 複数の認証情報を一度に依頼したいとき
• チャットに値を貼らずに認証情報を更新

アプリの起動から操作、証拠の保存、後片付けまでを実行して確かめ、エージェント向けの検証スキルと機能一覧をリポジトリ内に作成するスキル。

• 初参加のエージェントに検証手順を残したいとき
• 全機能の操作方法と成功条件を整理したいとき
• 実際の利用手順を検証して証拠を残したいとき

既存の検証スキルと機能一覧をソースコード・実際のアプリと照合し、古くなった手順や検証用補助ツールを修正するスキル。製品の不具合も分けて報告します。

• アプリ変更後に検証手順を更新したいとき
• 検証用の機能一覧の漏れを調べたいとき
• 検証用補助ツールを修理したいとき

新規・変更テストの価値を点検し、既存テストの重複や実装への依存、テスト専用コードを監査して、必要な不具合検出の役割を保ちながら整理を進めるスキル。

• 新規・変更テストの価値を確認したいとき
• 重複や実装依存のテスト調査
• テスト専用の本番コードの監査

Unityのテストを対象や実行モードで絞り込み、個別の成否や所要時間を確認します。失敗時のメッセージ、ログ、呼び出し履歴も必要に応じて取得します。

• 変更後に特定のテストクラスを再実行
• EditModeやPlayModeでのテスト実行
• 失敗したテストだけを確認したいとき