🔐 Security Audit and Vulnerability Scanning
Version: 2.0.0 Last Updated: 2025-11-22 Priority: ⭐⭐⭐⭐ (P1 Level) Purpose: 包括的セキュリティ監査と脆弱性スキャン
📋 概要
依存関係の脆弱性スキャン、unsafeコード検出、シークレット管理を含む 包括的なセキュリティ監査ワークフローを提供します。
🎯 P0: 呼び出しトリガー
| トリガー | 例 |
|---|
| 脆弱性スキャン | "scan for security vulnerabilities" |
| CVE確認 | "are there any CVEs?" |
| コード監査 | "audit the codebase" |
| デプロイ前 | "before production deployment" |
| 定期監査 | "weekly security check" |
🔧 P1: セキュリティツール一覧
ツール優先順位
| ツール | 用途 | 頻度 | コマンド |
|---|
cargo-audit | 依存関係CVE | 高 | cargo audit |
cargo-deny | ポリシー強制 | 高 | cargo deny check |
cargo-geiger | unsafe検出 | 中 | cargo geiger |
gitleaks | シークレット検出 | 高 | gitleaks detect |
cargo-supply-chain | サプライチェーン | 低 | cargo supply-chain |
🚀 P2: 監査パターン
Pattern 1: フルセキュリティ監査
# Step 1: 依存関係脆弱性
cargo audit
# Step 2: ポリシーチェック
cargo deny check
# Step 3: unsafe使用量
cargo geiger --output-format Json
# Step 4: シークレット検出
gitleaks detect --source . --verbose
# Step 5: サプライチェーン
cargo supply-chain crates
Pattern 2: クイック監査（CI用）
# 最小限のチェック（2-3分）
cargo audit && cargo deny check advisories
Pattern 3: Clippy セキュリティリント
# セキュリティ関連警告
cargo clippy -- \
-D warnings \
-W clippy::all \
-W clippy::pedantic \
-A clippy::missing_errors_doc
⚡ P3: 脆弱性対応
重大度別対応
| 重大度 | 対応期限 | アクション |
|---|
| Critical | 即時 | デプロイ停止、即時修正 |
| High | 24時間 | 優先修正、回避策検討 |
| Medium | 1週間 | 計画的修正 |
| Low | 1ヶ月 | 次回アップデート時 |
依存関係更新
# 特定クレート更新
cargo update -p vulnerable-crate
# Cargo.toml バージョン指定
[dependencies]
vulnerable-crate = ">=1.2.3" # 修正版以降
📊 deny.toml設定例
[advisories]
db-path = "~/.cargo/advisory-db"
vulnerability = "deny"
unmaintained = "warn"
[licenses]
allow = ["MIT", "Apache-2.0", "BSD-3-Clause"]
copyleft = "deny"
[bans]
multiple-versions = "warn"
wildcards = "deny"
[sources]
allow-git = []
🛡️ シークレット管理
検出パターン
| パターン | 例 | アクション |
|---|
| AWS Key | AKIA... | 即時無効化 |
| GitHub Token | ghp_... | 即時無効化 |
| API Key | sk-... | 即時無効化 |
| Private Key | -----BEGIN | リポジトリからパージ |
誤コミット対応
# ファイル削除
git rm --cached secrets.json
git commit --amend --no-edit
# 履歴からパージ（重大な場合）
git filter-repo --invert-paths --path secrets.json
✅ 成功基準
| チェック項目 | 基準 |
|---|
cargo audit | 0 vulnerabilities |
cargo deny | 0 denied |
cargo geiger | unsafe最小化 |
gitleaks | 0 secrets |
出力フォーマット
🔐 Security Audit Results
✅ Dependencies: 0 vulnerabilities
✅ Policy: All checks passed
⚠️ Unsafe: 5 blocks (3rd party only)
✅ Secrets: No leaks detected
Ready for production ✓
🔗 関連Skills
- Rust Development: ビルド品質
- Dependency Management: 依存関係更新
- Debugging: セキュリティ問題調査
