Codex use case
未対応の脆弱性の修正
レビュー済みの指摘に最小限の変更で対応し、問題が再現しないことを示します。
チケット管理ツールや脆弱性報告システムから承認済みの指摘を取り込みます。Codex Security プラグインで指摘を 1 件ずつ検証し、変更範囲を絞って修正したうえで、問題が再現しないことを示します。
Best for
- Codex Security、Linear や Jira のチケット、GitHub Security Advisories、HackerOne や Bugcrowd のレポート、ペネトレーションテスト、社内のセキュリティレビューなどを通じて報告された指摘のレビューを終えたチーム
- パッチごとに差分を最小限に抑え、検証を繰り返し実行できるようにする必要がある脆弱性バックログ
- セキュリティ上の修正を、より広範なリファクタリングやコードの整理と切り分けたいメンテナー
Contents
未対応の脆弱性の修正
レビュー済みの指摘に最小限の変更で対応し、問題が再現しないことを示します。
チケット管理ツールや脆弱性報告システムから承認済みの指摘を取り込みます。Codex Security プラグインで指摘を 1 件ずつ検証し、変更範囲を絞って修正したうえで、問題が再現しないことを示します。
チケット管理ツールや脆弱性報告システムから承認済みの指摘を取り込みます。Codex Security プラグインで指摘を 1 件ずつ検証し、変更範囲を絞って修正したうえで、問題が再現しないことを示します。
Related links
Best for
- Codex Security、Linear や Jira のチケット、GitHub Security Advisories、HackerOne や Bugcrowd のレポート、ペネトレーションテスト、社内のセキュリティレビューなどを通じて報告された指摘のレビューを終えたチーム
- パッチごとに差分を最小限に抑え、検証を繰り返し実行できるようにする必要がある脆弱性バックログ
- セキュリティ上の修正を、より広範なリファクタリングやコードの整理と切り分けたいメンテナー
Skills & Plugins
- 確認済みの指摘、または問題があると考える根拠のある指摘を 1 件取り上げ、セキュリティ上の問題を修正します。対象を絞ったテストや問題の再現時に得られた証拠を使って、修正の効果を確かめます。
| Skill | Why use it |
|---|---|
| Codex Security:fix Finding | 確認済みの指摘、または問題があると考える根拠のある指摘を 1 件取り上げ、セキュリティ上の問題を修正します。対象を絞ったテストや問題の再現時に得られた証拠を使って、修正の効果を確かめます。 |
Starter prompt
レビュー済みの指摘事項の個別修正
セキュリティ上の指摘事項について、修正範囲と対応方針を決めるのに十分な証拠がそろったら、このワークフローを使います。指摘事項の情報源には、Codex Security プラグイン、Linear や Jira などの課題管理システム、GitHub Security Advisories、HackerOne や Bugcrowd などの脆弱性報告プラットフォーム、内部レビュー、その他の承認済みの情報源があります。情報源との接続に対応している場合は接続します。または、報告書、チケット、アドバイザリのいずれかを提示し、可能な限り、影響を受けるコードと証拠を添えます。
多数の指摘事項を含むバックログを Codex に渡し、すべてを一度に修正するよう依頼するのは避けてください。1 件ずつ対応すれば、常に満たすべきセキュリティ条件、パッチ、検証結果を指摘事項ごとにレビューできます。
証拠に基づく 1 件ごとの対応完了
- Codex Security、チケット管理システム、セキュリティアドバイザリ、脆弱性報告プラットフォーム、またはチームが修正対応に使うことを認めているその他の情報源から、指摘事項を 1 件選びます。
- 元の報告を参照するための情報、問題の発生源または機能していないセキュリティ対策、攻撃者が制御できる入力、影響を受けるファイル、問題を再現できたことを示す証拠、期待される安全な動作を提示するか、情報源から取得します。
$codex-security:fix-findingに、問題を再現または検証してから必要最小限のパッチを作成するよう依頼します。すでに修正済みの場合は、コードの変更は不要だと報告するよう依頼します。- 回帰テストまたは検証時の成果物をパッチと併せてレビューします。
- 正当な利用時の動作が引き続きサポートされ、以前は脆弱性があった経路で問題が再現しなくなったことを確認します。
- 次の指摘事項を選ぶ前に、まだ確かめられていない点を記録します。
監査に備えたバックログの記録
対応を完了した項目ごとに、元のチケット、アドバイザリ、報告書のいずれかの参照先、コードの正確な変更内容、実施したチェック、証拠が不足している点を記録します。Codex が問題を修正済みと確認した場合や、問題を再現できなかった場合は、不要なコード変更を加えず、その判断の根拠を記録します。
指摘事項を扱うワークスペースと、プロンプトを使って修正を進める方法については、セキュリティ上の指摘事項の修正と検証を参照してください。
Related use cases
コード変更のセキュリティスキャン
Codex Security プラグインで Git 管理下の一連の変更を調べ、セキュリティの低下が疑われる箇所を検証します。マージ前に、検証結果とその根拠をまとめたレポートを作成します。
セキュリティスキャンで見つかった問題の修正
Codex Security...
初めてのセキュリティスキャン
Codex Security プラグインでローカルリポジトリをスキャンします。検出の根拠とスキャン範囲を確認し、どの問題から調査や修正に取り組むかを決めます。