Audit de sécurité avec Claude Code

セキュリティ監査をAIで効率化する

セキュリティレビューは専門知識が必要で時間もかかる作業です。Claude Codeを使えば、一般的な脆弱性パターンの検出から修正提案まで自動化できます。

基本のセキュリティスキャン

> プロジェクト全体のセキュリティ監査を実施して。
> 以下の観点でチェック：
> - SQLインジェクション
> - XSS（クロスサイトスクリプティング）
> - CSRF
> - 認証・認可の問題
> - 機密情報のハードコード
> - 依存パッケージの脆弱性

脆弱性パターンの検出と修正

SQLインジェクション

// 脆弱なコード
const query = `SELECT * FROM users WHERE email = '${email}'`;
const result = await db.query(query);

// Claude Codeによる修正：パラメータ化クエリ
const result = await db.query(
  "SELECT * FROM users WHERE email = $1",
  [email]
);

XSS（クロスサイトスクリプティング）

// 脆弱なコード
element.innerHTML = userInput;

// Claude Codeによる修正：サニタイズ
import DOMPurify from "dompurify";
element.innerHTML = DOMPurify.sanitize(userInput);

// またはテキストとして挿入
element.textContent = userInput;

機密情報の漏洩防止

> プロジェクト内にハードコードされたAPI鍵、パスワード、
> トークンがないか検索して。
> 見つかったら環境変数に置き換えて。

// Before fix：ハードコード
const API_KEY = "sk-1234567890abcdef";

// After fix：環境変数
const API_KEY = process.env.API_KEY;
if (!API_KEY) {
  throw new Error("API_KEY environment variable is required");
}

依存パッケージの脆弱性チェック

> npm audit を実行して、脆弱性があればバージョンを
> 更新して修正して。breaking changesがないか確認して。

# Claude Codeが実行するコマンド
npm audit
npm audit fix
# 自動修正できないものは手動で対応
npm install package-name@latest
npm test  # 更新後のテスト実行

認証・認可の監査

> APIエンドポイントの認証・認可チェックを監査して。
> 保護されていないエンドポイントを特定して修正。

// Before fix：認証チェックなし
router.delete("/users/:id", async (req, res) => {
  await deleteUser(req.params.id);
  res.status(204).send();
});

// After fix：認証 + 認可チェック
router.delete("/users/:id",
  authenticate,
  authorize("admin"),
  async (req, res) => {
    await deleteUser(req.params.id);
    res.status(204).send();
  }
);

OWASP Top 10に基づくチェックリスト

Claude Codeに体系的なチェックを行わせることもできます。

> OWASP Top 10 (2021) に基づいて、
> このアプリケーションのセキュリティチェックを行って。
> 各項目について該当する問題があれば報告して。

セキュリティヘッダーの設定

> Webアプリケーションに必要なセキュリティヘッダーを
> 設定して。Helmetを使用して。

import helmet from "helmet";

app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'"],
      styleSrc: ["'self'", "'unsafe-inline'"],
      imgSrc: ["'self'", "data:", "https:"],
    },
  },
  hsts: { maxAge: 31536000, includeSubDomains: true },
  referrerPolicy: { policy: "strict-origin-when-cross-origin" },
}));

.envファイルのセキュリティ

> .env.example を .env から生成して。
> 実際の値はプレースホルダーに置き換えて。
> .gitignore に .env が含まれているか確認して。

# .env.example（Claude Codeが生成）
DATABASE_URL=postgresql://user:password@localhost:5432/dbname
JWT_SECRET=your-secret-key-here
API_KEY=your-api-key-here
REDIS_URL=redis://localhost:6379

コードレビューでのセキュリティ観点はコードレビューをAIで効率化を、CI/CDへのセキュリティスキャン統合はCI/CDパイプライン構築ガイドを参照してください。エラーハンドリングでの情報漏洩防止はエラーハンドリング設計パターンもあわせてご覧ください。

Summary

Claude Codeを使ったセキュリティ監査は、一般的な脆弱性を効率的に検出できます。ただし、AIによる監査は万能ではありません。本番環境では専門のセキュリティ診断ツールや専門家によるレビューも組み合わせてください。

セキュリティのベストプラクティスはOWASP公式サイト、Claude CodeについてはAnthropic公式ドキュメントを参照してください。