# Tool Security > MCPツールとAPI統合のセキュリティ設計を体系化するスキル。 脅威整理、制御設計、設定検証を通じて安全なツール運用を支援する。 Anchors: • Web Application Security / 適用: 脅威モデリング / 目的: 攻撃面の整理 • OWASP ASVS / 適用: セキュリティ要件 / 目的: 制御の網羅性 Trigger: Use when designing tool security controls, validating security configs, or reviewing secrets handling. tool security, threat modeling, config validation - Skill: `majiayu000/tool-security` (Agent Skill, multi-file: 2 files) - Install (CLI): `npx skillmds@latest add majiayu000/tool-security` - Raw SKILL.md: https://api.skillmd.com/api/skills/majiayu000/tool-security/raw - Safety review: pending (external: skill-scanner PASS, skillspector PASS) - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: AI & ML - Author: majiayu000 (https://skillmd.com/u/majiayu000) - Updated: 2026-09-09 - Page: https://skillmd.com/skills/majiayu000/tool-security --- # Tool Security ## 概要 MCPツールやAPI統合におけるセキュリティ設計を支援するスキル。脅威整理から制御設計、設定検証までを一貫した手順で提供する。 --- ## ワークフロー ### Phase 1: 脅威と境界の整理 **目的**: ツール利用に伴う攻撃面と保護対象を整理する **アクション**: 1. データフローと境界を洗い出す 2. 主要な脅威とリスクを分類する 3. 保護対象と優先順位を決める **Task**: `agents/security-surface-analysis.md` を参照 ### Phase 2: 制御設計と設定 **目的**: 脅威に対する制御を設計し、設定テンプレートを整備する **アクション**: 1. 認証/認可/入力検証の制御を設計する 2. 設定テンプレートに反映する 3. 監査ログと鍵管理の方針を決める **Task**: `agents/security-control-design.md` を参照 ### Phase 3: 検証と監査 **目的**: セキュリティ設定の妥当性を検証し、運用監査を行う **アクション**: 1. 設定検証スクリプトで確認する 2. 環境変数とシークレットの扱いを点検する 3. 実行記録を保存する **Task**: `agents/security-validation.md` を参照 --- ## Task仕様ナビ | Task | 起動タイミング | 入力 | 出力 | | ------------------------- | -------------- | ----------------------- | ------------ | | security-surface-analysis | Phase 1 開始時 | ツール構成/データフロー | 脅威整理メモ | | security-control-design | Phase 2 開始時 | 脅威整理/要件 | 制御設計書 | | security-validation | Phase 3 開始時 | 設定/監査ログ | 検証レポート | **詳細仕様**: 各Taskの詳細は `agents/` ディレクトリを参照 --- ## ベストプラクティス ### すべきこと | 推奨事項 | 理由 | | ------------------------------ | -------------------------- | | 攻撃面と保護対象を明確にする | 優先順位を誤らないため | | 設定テンプレートを統一する | 運用ミスを減らすため | | 検証スクリプトで確認する | 設定ミスを早期検出するため | | 鍵とログの管理方針を明文化する | 監査性を確保するため | ### 避けるべきこと | 禁止事項 | 問題点 | | ---------------------------------- | -------------------------- | | 影響範囲を確認せずに権限を付与する | 攻撃面が拡大する | | 検証を省略して設定を反映する | 設定ミスが残る | | ログを残さない | 監査や原因追跡が困難になる | --- ## リソース参照 ### scripts/（決定論的処理） | スクリプト | 機能 | | -------------------------------------- | -------------------------------- | | `scripts/check-env-vars.mjs` | 環境変数の安全性を点検する | | `scripts/validate-security-config.mjs` | セキュリティ設定を検証する | | `scripts/validate-skill.mjs` | スキル構造と必須成果物を検証する | | `scripts/log_usage.mjs` | 実行記録を保存する | ### references/（詳細知識） | リソース | パス | 読込条件 | | ------------ | ---------------------------------------------------------------------------- | ---------------- | | 基礎概念 | [references/Level1_basics.md](references/Level1_basics.md) | Phase 1 で参照 | | 実務パターン | [references/Level2_intermediate.md](references/Level2_intermediate.md) | Phase 2 で参照 | | 応用戦略 | [references/Level3_advanced.md](references/Level3_advanced.md) | 監査時に参照 | | エキスパート | [references/Level4_expert.md](references/Level4_expert.md) | 高度化時に参照 | | APIキー管理 | [references/api-key-management.md](references/api-key-management.md) | 認証設計時に参照 | | 入力検証 | [references/input-validation-guide.md](references/input-validation-guide.md) | 制御設計時に参照 | | 権限パターン | [references/permission-patterns.md](references/permission-patterns.md) | 制御設計時に参照 | ### assets/（テンプレート・素材） | アセット | 用途 | | -------------------------------------- | ---------------------------- | | `assets/security-config-template.json` | セキュリティ設定テンプレート | | `assets/audit-log-schema.json` | 監査ログのスキーマ | ## 変更履歴 | Version | Date | Changes | | ------- | ---------- | --------------------------------------------- | | 2.0.0 | 2026-01-02 | Frontmatter再設計、Task仕様と検証フローを刷新 | | 1.0.1 | 2025-12-24 | 初期バージョン |