Codeql

coverage-analysis は、ファジング中にどのコードが実行されたかを測定し、magic value チェックのような阻害要因を見つけ、ハーネス変更の差分を比較するのに役立ちます。Security Audit ワークフローで、coverage-analysis の使い方、導入の考え方、再現性のある判断基準が必要なときに適したスキルです。

コードベースに対する静的解析を行うためのSemgrepスキルです。言語の自動判定、並列ワーカー、統合されたSARIF出力、そして事前計画ベースの承認フローを備えています。Security Audit のワークフロー向けに設計されており、`run all` と `important only` のモードをサポートし、`--metrics=off` を使用します。利用可能な場合は Semgrep Pro も活用できます。

sarif-parsing は、CodeQL や Semgrep などのツールが出力した SARIF 2.1.0 結果を、読み取り・フィルタリング・重複排除・要約・変換するためのスキャン後スキルです。すでにスキャン結果があり、わかりやすい解析、集約、または CI/CD 向けの変換が必要な場合に使います。スキャン自体を実行する用途ではありません。

codeql スキルは、セキュリティ監査で CodeQL を使う際の見落としを減らすのに役立ちます。データベース品質、suite の選定、data extensions、SARIF レビューに重点を置き、対応言語全体で codeql の利用をより確実に進められるようにします。実際のリポジトリを解析するときに、再現性のある codeql 手順として活用してください。

variant-analysis は、1件の問題が確認されたあとに、コードベース全体から類似の脆弱性やバグを見つけるのに役立ちます。CodeQL や Semgrep のクエリ作成、原因起点のワークフロー、Security Audit 向けの集中的な variant-analysis ガイド実行に使えます。新規の広範な初回レビューよりも、発見後の横展開調査に最適です。