메뉴
プロジェクトを分析し、最適化されたセキュリティレビュースキルとサブエージェント設定を生成するメタスキル。バックエンド、フロントエンド、インフラに応じた専門レビュースキルを自動生成。このスキル自体はセキュリティレビューを実行せず、レビュー用のスキルファイルを生成する。プロジェクト固有のセキュリティレビュー体制を構築したい時に使用。
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
SOC 직업 분류 기준
| name | security-review-generator |
| description | プロジェクトを分析し、最適化されたセキュリティレビュースキルとサブエージェント設定を生成するメタスキル。バックエンド、フロントエンド、インフラに応じた専門レビュースキルを自動生成。このスキル自体はセキュリティレビューを実行せず、レビュー用のスキルファイルを生成する。プロジェクト固有のセキュリティレビュー体制を構築したい時に使用。 |
| disable-model-invocation | true |
このスキルは、プロジェクトを分析し、そのプロジェクトに最適化されたセキュリティレビュースキルおよびサブエージェント設定を生成するメタスキルです。
重要: このスキル自体はセキュリティレビューを実行しません。セキュリティレビューを行うためのスキルファイルを生成します。
Security Review Generator は、以下の機能を提供します：
このスキルを実行すると、対象プロジェクトのルートに以下のファイルが生成されます：
.claude/skills/security-review/SKILL.md - 実際にセキュリティレビューを実行するスキル.claude/skills/security-review/agents/backend-security-agent.md.claude/skills/security-review/agents/frontend-security-agent.md.claude/skills/security-review/agents/infrastructure-security-agent.md.claude/skills/security-review/agents/api-security-agent.md.claude/skills/security-review/references/ - 選択された手法のリファレンス/security-review-generator
技術スタック検出
scripts/analyze_project.py を実行エントリーポイント特定
ユーザーに以下の設定を確認（AskUserQuestion）：
プロジェクト分析結果とユーザー選択に基づいて、カスタマイズされたスキルファイルを生成：
プロジェクト固有の SKILL.md を生成：
プロジェクトタイプに基づいて必要なサブエージェント設定を生成：
| プロジェクトタイプ | 生成されるサブエージェント |
|---|---|
| Backend | backend-security, api-security |
| Frontend | frontend-security |
| Fullstack | backend-security, frontend-security, api-security |
| Infrastructure | infrastructure-security |
| Fullstack + Infra | 全サブエージェント |
各サブエージェント設定には以下が含まれます：
選択された手法に必要なリファレンスファイルを .claude/skills/security-review/references/ にコピー：
references/
├── stride-methodology.md # STRIDE選択時
├── attack-tree-patterns.md # Attack Tree選択時
├── pasta-framework.md # PASTA選択時
├── scoring-systems.md # リスク評価手法
├── zero-trust-checklist.md # 常にコピー
└── compliance-frameworks.md # コンプライアンス選択時
生成完了後、以下を説明：
生成されるスキルは以下の機能を持ちます：
assets/report-template.md に基づく詳細レポート生成されたスキルがセキュリティレビューを実行すると、以下のファイルがプロジェクトルートに出力されます：
{project_root}/
├── security-review-report.md # メインレポート（エグゼクティブサマリー、技術詳細、改善ロードマップ）
├── security-findings.json # 発見事項の構造化データ（finding-schema.json 準拠）
├── compliance-mapping.json # コンプライアンスフレームワークとのマッピング
└── security-roadmap.md # 優先度付き改善ロードマップ
各サブエージェント設定（agents/*.md）には以下が含まれます：
# {Agent Name} Security Agent
## 役割
{エージェントの責務の説明}
## チェック項目
{プロジェクト固有のチェックリスト}
## 実行プロンプト
{Task ツールに渡すプロンプトテンプレート}
## 出力フォーマット
{findings.json スキーマに準拠した出力形式}
python scripts/analyze_project.py /path/to/project
出力例：
{
"project_type": "fullstack",
"languages": ["Python", "JavaScript"],
"frameworks": ["Django", "React"],
"entry_points": ["main.py", "index.js"],
"recommended_subagents": [
"backend-security",
"frontend-security",
"api-security"
]
}
python scripts/generate_subagent.py references/subagent-templates backend-security context.json
# 単一パッケージの検索
python scripts/vulnerability_lookup.py search django 4.2.0
# 依存関係の一括検索
python scripts/vulnerability_lookup.py batch dependencies.json
references/stride-methodology.mdreferences/attack-tree-patterns.mdreferences/pasta-framework.mdreferences/scoring-systems.mdreferences/zero-trust-checklist.mdreferences/compliance-frameworks.mdreferences/subagent-templates/backend-security.mdreferences/subagent-templates/frontend-security.mdreferences/subagent-templates/infrastructure-security.mdreferences/subagent-templates/api-security.mdスキル実行後にプロジェクトルートに生成される構造：
.claude/
└── skills/
└── security-review/
├── SKILL.md # メインスキル（セキュリティレビュー実行用）
├── agents/
│ ├── backend-security-agent.md
│ ├── frontend-security-agent.md
│ ├── infrastructure-security-agent.md
│ └── api-security-agent.md
├── assets/
│ ├── finding-schema.json # 発見事項スキーマ
│ └── report-template.md # レポートテンプレート
└── references/
├── stride-methodology.md
├── scoring-systems.md
└── ...（選択された手法のみ）
スキル実行時の内部フロー：
1. ユーザーがスキルを実行
↓
2. プロジェクトパスを取得（デフォルト: カレントディレクトリ）
↓
3. analyze_project.py を実行してプロジェクト分析
↓
4. ユーザーに生成オプションを確認（AskUserQuestion）
- コンプライアンスフレームワーク
- 脅威モデリング手法
- リスク評価手法
- 脆弱性チェック項目
↓
5. 必要なサブエージェント設定を特定
↓
6. メインスキル（SKILL.md）を生成
- プロジェクト固有の設定を埋め込み
- 選択された手法のワークフローを構築
↓
7. サブエージェント設定ファイルを生成
- テンプレートをカスタマイズ
- プロジェクト情報を埋め込み
↓
8. 必要なリファレンスファイルをコピー
↓
9. 生成結果をユーザーに報告
- 生成されたファイルの一覧
- スキルの有効化・実行方法
↓
10. （任意）ユーザーが生成されたスキルを実行してセキュリティレビュー開始
references/subagent-templates/ に新しいテンプレートを追加scripts/analyze_project.py で推奨ロジックに追加scripts/generate_subagent.py でテンプレート読み込みを確認references/compliance-frameworks.md に新しいフレームワークを追加assets/finding-schema.json の compliance_mapping に新しいプロパティを追加references/scoring-systems.md に新しいシステムを追加chmod +x scripts/*.py
手動で context.json を作成して generate_subagent.py に渡すことで、正確な設定を生成できます。
Q: このスキルでセキュリティレビューできますか？ A: いいえ。このスキルはセキュリティレビューを行うスキルを「生成」します。生成後に、生成されたスキルを実行してください。
Q: 生成されたスキルはどこに保存されますか？
A: プロジェクトルートの .claude/skills/security-review/ に保存されます。
Q: 既存のスキルを更新できますか？ A: はい。同じプロジェクトで再実行すると、既存のファイルを上書きするか確認されます。
Q: 複数のプロジェクト用に異なるスキルを生成できますか？ A: はい。各プロジェクトで実行すると、それぞれのプロジェクトに最適化されたスキルが生成されます。
問題や質問がある場合は、以下のリソースを参照してください：
TerraformプロジェクトのAWSインフラにおけるネットワーク接続性と権限設定を分析します。セキュリティグループ、IAMポリシー、NACLなどを解析し、リソース間の通信可否、不要な接続、権限の過不足を検出します。Terraformファイルやtfstateがあるプロジェクトで、インフラのセキュリティレビューやネットワーク接続の検証が必要な場合に使用します。
要求定義書のレビューを行うスキル。品質チェック・矛盾検出・抜け漏れ検出・曖昧性分析を実施し、 構造化レポートを出力する。以下の場合に使用: (1) 要求定義書・要件定義書をレビューしたい時、 (2) 要求の品質や完全性を確認したい時、 (3) 矛盾・抜け漏れ・曖昧な表現を検出したい時
言語非依存のプログラミングベストプラクティスとガイドライン。コードを書く・関数/クラス/モジュールを実装する・プログラムを新規作成するあらゆる場面でPROACTIVELYに使用すること。コーディング開始前に必ずこのスキルを読み込む。コードレビュー・設計レビューにも使用する。
言語非依存の単体テストベストプラクティスとガイドライン。テストコードを書く・テストケースを追加する・テストスイートを作成するあらゆる場面でPROACTIVELYに使用すること。テストコーディング開始前に必ずこのスキルを読み込む。既存テストのレビューにも使用する。
仕様からテストケースを体系的に生成するスキル。状態機械・自然言語・Mermaid・シーケンス図など多様な入力形式に対応し、CSP安定失敗モデルに基づいて受理テストケース（トレース集合内）と拒否テストケース（トレース集合外）を網羅的に導出する。活性・到達可能性・安全性の3性質を検証するテストスイートを生成する。要求定義・仕様記述・設計成果物からのテストケース生成、テスト設計レビュー、テストカバレッジ分析に使用する。
CSPの安定失敗モデルに基づく状態機械ベースの形式仕様書を作成するスキル。 機能要求（活性・到達可能性・安全性）を入力として、 状態変数・遷移（イベント[ガード]/事後条件）・失敗集合を定義する トップレベル仕様およびコンポーネント仕様を生成する。 画面表示を持つシステムでは画面表示関数も定義する。