🔐 Security Audit and Vulnerability Scanning

Version: 2.0.0 Last Updated: 2025-11-22 Priority: ⭐⭐⭐⭐ (P1 Level) Purpose: 包括的セキュリティ監査と脆弱性スキャン

---

📋 概要

依存関係の脆弱性スキャン、unsafeコード検出、シークレット管理を含む 包括的なセキュリティ監査ワークフローを提供します。

---

🎯 P0: 呼び出しトリガー

トリガー	例
脆弱性スキャン	"scan for security vulnerabilities"
CVE確認	"are there any CVEs?"
コード監査	"audit the codebase"
デプロイ前	"before production deployment"
定期監査	"weekly security check"

---

🔧 P1: セキュリティツール一覧

ツール優先順位

ツール	用途	頻度	コマンド
cargo-audit	依存関係CVE	高	cargo audit
cargo-deny	ポリシー強制	高	cargo deny check
cargo-geiger	unsafe検出	中	cargo geiger
gitleaks	シークレット検出	高	gitleaks detect
cargo-supply-chain	サプライチェーン	低	cargo supply-chain

---

🚀 P2: 監査パターン

Pattern 1: フルセキュリティ監査

# Step 1: 依存関係脆弱性
cargo audit

# Step 2: ポリシーチェック
cargo deny check

# Step 3: unsafe使用量
cargo geiger --output-format Json

# Step 4: シークレット検出
gitleaks detect --source . --verbose

# Step 5: サプライチェーン
cargo supply-chain crates

Pattern 2: クイック監査（CI用）

# 最小限のチェック（2-3分）
cargo audit && cargo deny check advisories

Pattern 3: Clippy セキュリティリント

# セキュリティ関連警告
cargo clippy -- \
  -D warnings \
  -W clippy::all \
  -W clippy::pedantic \
  -A clippy::missing_errors_doc

---

⚡ P3: 脆弱性対応

重大度別対応

重大度	対応期限	アクション
Critical	即時	デプロイ停止、即時修正
High	24時間	優先修正、回避策検討
Medium	1週間	計画的修正
Low	1ヶ月	次回アップデート時

依存関係更新

# 特定クレート更新
cargo update -p vulnerable-crate

# Cargo.toml バージョン指定
[dependencies]
vulnerable-crate = ">=1.2.3"  # 修正版以降

---

📊 deny.toml設定例

[advisories]
db-path = "~/.cargo/advisory-db"
vulnerability = "deny"
unmaintained = "warn"

[licenses]
allow = ["MIT", "Apache-2.0", "BSD-3-Clause"]
copyleft = "deny"

[bans]
multiple-versions = "warn"
wildcards = "deny"

[sources]
allow-git = []

---

🛡️ シークレット管理

検出パターン

パターン	例	アクション
AWS Key	AKIA...	即時無効化
GitHub Token	ghp_...	即時無効化
API Key	sk-...	即時無効化
Private Key	-----BEGIN	リポジトリからパージ

誤コミット対応

# ファイル削除
git rm --cached secrets.json
git commit --amend --no-edit

# 履歴からパージ（重大な場合）
git filter-repo --invert-paths --path secrets.json

---

✅ 成功基準

チェック項目	基準
cargo audit	0 vulnerabilities
cargo deny	0 denied
cargo geiger	unsafe最小化
gitleaks	0 secrets

出力フォーマット

🔐 Security Audit Results

✅ Dependencies: 0 vulnerabilities
✅ Policy: All checks passed
⚠️ Unsafe: 5 blocks (3rd party only)
✅ Secrets: No leaks detected

Ready for production ✓

---

🔗 関連Skills

• Rust Development: ビルド品質
• Dependency Management: 依存関係更新
• Debugging: セキュリティ問題調査