Skills DirectoryGitHub から厳選したオープンソースの Skills
日本語

csocommit 7dc2f23 · v3.0.0SKILL.md · セキュリティ監査

CSOセキュリティ監査

gstack-cso ヘルパー経由の証拠重視の監査で裏付けのある発見を報告し、包括モードでは再現と修正候補も加えます。

gstack-cso のインストールが必要で、包括モードではローカルのDockerでアプリを動かし、マスク済みレポートは30日間保持されます。

npx skills add garrytan/gstack --skill cso
権限
  • read-repo
  • write-files
  • shell
  • network
対応ツール
Claude Code, Codex, Cursor, Copilot
GitHub
138.5k
提供元
コミュニティ · Garry Tan
状態
スキャン済み
ライセンス
MIT
カテゴリ
セキュリティ監査
リポジトリ
github.com/garrytan/gstack/cso

基本ルール

保証より証拠を優先し、攻撃者が操作できる入口、セキュリティ境界の越境、実際の影響がそろった発見だけを報告すること。

実行フェーズ

  1. フェーズ 01モード解決と開始

    スコープと引数を解決し、信頼できるランチャーで実行を1回だけ開始し、以降はヘルパーの inspect/read/history でのみソースを読みます。

  2. フェーズ 02モデル化と攻撃面

    アクター、資産、入口、テナント境界、セキュリティ不変条件を整理し、エンドポイント、アップロード、Webhook、CI/CDなどの攻撃面を記録します。

  3. フェーズ 03スコープ別に監査

    選んだスコープに応じて、インフラ、コード、スキル、サプライチェーン、OWASPなどの監査フェーズを実行します。

  4. フェーズ 04証拠評価と検証

    重大度・確信度・証拠を分けて判断し、独立レビュアーまたは別の懐疑的確認で各候補を検証し、同種の箇所も調べます。

  5. フェーズ 05報告と再確認

    報告は完了・部分・未評価のいずれかで始めて発見の表を示し、ヘルパーで保存します。resume・replay・recheck で継続や再確認ができます。

権限の説明（SKILL.md より）

機能必要か説明
ファイル書き込み不要ブランチやプロジェクトのソースは変更せず、レポートと修正候補はヘルパーが専用の状態ディレクトリに保存します。
コマンド実行一部で必要実行できるのは gstack-cso ランチャーだけで、対象のツールやDockerをホスト上で直接動かしません。
外部通信一部で必要公開パッケージとセキュリティアドバイザリのIDだけを照会し、--offline で全ネットワークアクセスを無効にできます。

SKILL.md のフロントマター（YAML）

SKILL.md のフロントマター（YAML）commit 7dc2f23 · v3.0.0
---
name: cso
version: 3.0.0
description: "Security audit: supported static findings; qualified profiles add reproduction and repair candidates. (gstack)"
allowed-tools:
  - "Bash(~/.claude/skills/gstack/bin/gstack-cso-launcher *)"
  - "Bash(~/.claude/skills/gstack/bin/gstack-cso-launcher.exe *)"
triggers:
  - security audit
  - check for vulnerabilities
  - owasp review
---

関連スキル

ルールスキャンですべてのリスクを検出できるわけではありません。インストール前にこのスキルの SKILL.md を読み、権限を確認してください。
Markdown 版 GitHub