Codex use case
詳細なセキュリティスキャン
評価する権限のあるリポジトリを詳しく調べ、脆弱性の候補を特定します。
Codex Security プラグインを使って、リポジトリまたは指定したフォルダーをより包括的に監査します。脆弱性の探索を繰り返し、見つかった候補を検証したうえで、指摘事項と調査範囲をレビューできる形にまとめます。
Best for
- 自身が所有しているか、評価する権限を持つリポジトリやコンポーネントのアプリケーションセキュリティレビュー
- より多くの脆弱性候補を見つけるために、実行時間とトークンを追加で使える場合の包括的なレビュー
- 修正対象を決める前に、各指摘事項の根拠をたどって確認する必要があるセキュリティチーム
Contents
詳細なセキュリティスキャン
評価する権限のあるリポジトリを詳しく調べ、脆弱性の候補を特定します。
Codex Security プラグインを使って、リポジトリまたは指定したフォルダーをより包括的に監査します。脆弱性の探索を繰り返し、見つかった候補を検証したうえで、指摘事項と調査範囲をレビューできる形にまとめます。
Codex Security プラグインを使って、リポジトリまたは指定したフォルダーをより包括的に監査します。脆弱性の探索を繰り返し、見つかった候補を検証したうえで、指摘事項と調査範囲をレビューできる形にまとめます。
Related links
Best for
- 自身が所有しているか、評価する権限を持つリポジトリやコンポーネントのアプリケーションセキュリティレビュー
- より多くの脆弱性候補を見つけるために、実行時間とトークンを追加で使える場合の包括的なレビュー
- 修正対象を決める前に、各指摘事項の根拠をたどって確認する必要があるセキュリティチーム
Skills & Plugins
- リポジトリまたは指定したフォルダーで脆弱性の探索を繰り返し、絞り込んだ候補を検証します。攻撃経路を分析し、指摘事項と調査範囲を報告します。
| Skill | Why use it |
|---|---|
| Codex Security:deep Security Scan | リポジトリまたは指定したフォルダーで脆弱性の探索を繰り返し、絞り込んだ候補を検証します。攻撃経路を分析し、指摘事項と調査範囲を報告します。 |
Starter prompt
リポジトリの詳細スキャンを選ぶ基準
リポジトリ全体や指定したフォルダーの脆弱性をより網羅的に調査する必要があり、十分な実行時間を確保できる場合は、詳細スキャンを使用します。Codex Security プラグインは、脆弱性の探索を複数回行ってから、検出事項を検証し、優先順位を付けます。そのため、通常のスキャンよりも多くの時間とリソースを要します。
詳細スキャンの対象は、リポジトリ全体、または名前を明示した単一のパッケージやディレクトリです。pull request、コミット、ブランチの差分、作業ツリーのパッチをレビューする場合は、$codex-security:security-diff-scan を使用します。
スキャンの権限確認と準備
- Codex でリポジトリを開き、Codex Security プラグインのクイックスタートの手順を完了します。
- 自分がリポジトリの所有者であるか、そのリポジトリのセキュリティ評価を行う許可を得ていることを確認します。
SECURITY.mdに、アーキテクチャ、信頼境界、セキュリティ上の不変条件、検出事項として報告する基準、除外対象、深刻度の判定基準を記載します。ディレクトリ固有のポリシーは、該当するディレクトリのSECURITY.mdに記載します。- サポートされているビルド、テスト、検証の各コマンドと、リポジトリに関するその他の指示は
AGENTS.mdに記載します。 - 開始用のプロンプトを実行し、スキャンが複数回の探索、検証、攻撃経路の分析、最終レポートの作成を終えるまで待ちます。
- 検出事項をまとめたワークスペースとレポートに目を通し、裏付けが不十分な点があれば確認します。必要に応じて、脆弱性の詳細レポートや、設計面からセキュリティを強化するための指針を求めます。
修正前の根拠の確認
最終結果には、影響を受ける箇所、問題のある動作に到達できる理由、Codex が行った検証の内容、裏付けがまだ不十分な点、対象範囲を明確にした修正方針が示されている必要があります。検証による裏付けのない検出事項と、検証済みの検出事項を区別してください。
修正に着手するのは、自分で選び、内容を確認した検出事項に限ります。未対応の脆弱性の修正の手順に沿って、検出事項を一件ずつ修正し、修正箇所に絞って回帰がないか検証します。
セットアップ、実行前の確認、スキャン対象の指定、実行時間の目安については、詳細セキュリティスキャンの実行を参照してください。
Related use cases
コード変更のセキュリティスキャン
Codex Security プラグインで Git 管理下の一連の変更を調べ、セキュリティの低下が疑われる箇所を検証します。マージ前に、検証結果とその根拠をまとめたレポートを作成します。
初めてのセキュリティスキャン
Codex Security プラグインでローカルリポジトリをスキャンします。検出の根拠とスキャン範囲を確認し、どの問題から調査や修正に取り組むかを決めます。
複数リポジトリの一括スキャン
Codex Security CLI を使い、一覧にある各リポジトリを指定したコミットの時点でスキャンします。結果を個別に確認し、どの項目に調査や修正が必要かを判断します。