Claude Academy
読み込み中

Claude Securityを始める

Claude Securityを始める

8 分Claude Security

Claude Securityは、Claude.aiに組み込まれた機能で、コードベースにセキュリティの脆弱性がないかを継続的に監視し、各検出結果を修正されるまで追跡し、レビュー用に的を絞ったソフトウェアパッチを提案します。これにより、従来の方法では見逃されがちなセキュリティ問題を、あなたとチームが発見して修正できるようになります。これはClaude Enterpriseアカウントで利用できるベータ機能です。

ほとんどのエンジニアリングチームには、あらゆる変更にわたって高度な脆弱性を特定するためのレビュー時間とスキルが不足しており、セキュリティを重視した視点がなければ見逃しやすい問題も数多くあります。Claude Securityはそのギャップを埋める手助けをします。コードベースをスキャンし、実際に重要な問題を浮き彫りにし、あなたやチームがレビューして適用できるパッチを提案します。Claude Securityは、Claude Mythosを含む当社のモデルファミリー全体で動作し、Cyber Verification Programへのアクセスは必要ありません。

このガイドでは、Claude Securityのセットアップ、最初のプロジェクトの作成、検出結果のレビューに必要なすべてを説明し、継続的な利用のためのヒントも紹介します。

前提条件

Claude Securityを使用する前に、以下の要件を満たしている必要があります。

  • 対象プラン： 組織がアクティブなClaude Enterpriseアカウントを持っている必要があります。
  • リポジトリへのアクセス：
    • GitHub上のリポジトリの場合、管理者がClaude GitHub Appをインストールし、スキャンしたいリポジトリへのアクセス権を付与している必要があり、さらにリポジトリを追加する人はそれぞれ自分のGitHubアカウントをClaudeに接続する必要があります。これはClaude Code in the cloudで使用されているものと同じClaude GitHub Appです。
    • GitHub Enterprise Serverの場合、アプリはGHESインスタンスにインストールされている必要があり、そのインスタンスはすでにClaude Code in the cloudに接続されている必要があります。
  • GitLab、BitBucketなど、他のGitプロバイダーでホストされているリポジトリの場合は、リポジトリのアドレスと認証トークンが必要です。
  • プロジェクトの作成権限： 管理者は、どのRBACロールがClaude Securityプロジェクトを作成できるかを決めることができます。
  • ユーザーシート： Claude Securityを使用する各ユーザーには、Claude Codeを含むシートが必要です（該当するシート）。
  • Claude Code in the cloud（任意）： Claude Code in the cloudを使って、提案された修正をユーザーが実行できるようにします。これがない場合、ユーザーはプロンプトを自分のClaude Codeにコピーします。

セットアップ

組織がすでにClaude Code in the cloudを使用している場合、セットアップの大部分はすでに完了しています。以下の点を確認してください。

  1. 請求を確認する。 スキャンはトークンの実費で課金され、追加のプラットフォーム料金はかかりません。ご利用のプランにスタンダードシートとプレミアムシートがある場合は、まず使用クレジットを有効にしてください（手順）。その他のEnterpriseプランについては、Enterpriseプランの請求はどのように行われますか？をご覧ください。コストはリポジトリの規模と変更頻度に応じて変動するため、想定される使用量に合わせた支出上限を設定してください。Claude Securityを有効にした後は、この機能専用の支出上限を別途設定することもできます。
  2. ClaudeにGitHubリポジトリへのアクセスを許可する。 スキャンしたいリポジトリにClaude GitHub Appをインストールし（GitHub組織の場合は、その組織のオーナーによる承認が必要になることがあります）、「Organization settings」>「Connectors」でGitHub connectorをオンにします。GitHub Enterprise Serverの場合は、GitHub Enterprise Serverガイドに従ってください。他のGitサーバーでホストされているリポジトリの場合は、追加する予定のリポジトリ用の認証トークンを作成してください。
  3. 管理コンソールでClaude Security機能を有効にします：http://claude.ai/admin-settings/claude-security
  4. アクセスと権限を設定する。 管理者は、カスタムロールで権限を設定することで、どのRBACロールがプロジェクトを作成できるか、また誰がすべてのプロジェクトを閲覧、トリアージ、管理できるかを決めることができます。
  5. Claude Code in the cloudを有効にする（任意）。 これにより、ユーザーはクラウドで修正を実行できます。それ以外の場合は任意です。

Claude Securityを使用する各ユーザーは、自分のGitHubアカウントもClaudeに接続します（確認方法）。

プロジェクトの作成

Claude Securityが有効になると、プロジェクトの作成は簡単です。

  1. Claude.ai経由でClaude Securityに移動する。 claude.aiにアクセスし、左サイドバーのSecurityアイコンをクリックするか、claude.ai/securityにアクセスします。
  2. 「New project」をクリックし、名前を付ける。 プロジェクトは、アクセス制御と請求の単位です。
  3. リポジトリを追加する。 GitHubまたは他のGitプロバイダーから最大8つのリポジトリを接続します。各リポジトリについて、必要に応じてブランチ、フォルダのスコープ、除外するフォルダを設定できます。
  4. コードからは分からないことを追加する（任意）。 コードがどのようにデプロイされているか、誰がアクセスできるか、どのリスクを受け入れているかを、メモとして、またはアーキテクチャドキュメントなどのドキュメントとしてClaudeに伝えます。これらは後から編集できます。
  5. プロジェクトを作成する。 「Create project」をクリックします。Claudeがコードを読み込み、脅威モデルを作成し、詳細なベースラインスキャンを実行します。リポジトリの規模によっては、ベースラインスキャンに数分から数時間かかる場合があり、実行中はページを離れてもかまいません。
  6. 検出結果をレビューする。 検出結果は、Claudeが報告するたびに、脆弱性の種類、深刻度、影響を受けるファイルと行、問題の説明などの詳細とともに、プロジェクトの「Findings」タブに表示されます。

その後、Claudeは新しいコミットを確認し、脆弱性を継続的にスキャンします。

検出結果のレビューと対応

プロジェクトの「Findings」タブには、未解決の検出結果が一覧表示されます。各検出結果に対していくつかの選択肢があります。

  • 詳細をレビューする。 各検出結果には、脆弱性の説明、影響を受けるコードの場所、その根拠となる証拠と推論、提案される修正内容が含まれます。プロジェクトのチャットで、検出結果についてClaudeに質問することもできます。
  • 修正を開始する。 検出結果の「Fix」をクリックすると、Claude Codeが開き、その特定の脆弱性を修正できます。
  • 検出結果をトリアージする。 修正済みとしてマークするか、誤検知、受け入れ済みのリスク、重複、またはその他の理由で却下します。
  • 修正を追跡する。 Claudeは、変更されたコードと照らし合わせて未解決の検出結果を確認し、修正が反映されると修正済みとしてマークします。修正済みとしてマークされた検出結果は、後でClaudeが同じ問題を再び検出すると自動的に再オープンされます。
  • 検出結果をエクスポートする。 検出結果を独自の追跡・通知システムにエクスポートするには、Claude Security API、Claude Securityコネクタ、またはWebhookを使用します。

検出結果は深刻度別に分類されており、修復作業の優先順位付けに役立ちます。最も深刻度の高い項目から着手し、リストを順に進めていくことをお勧めします。

継続的な利用のためのヒント

これらのヒントにより、継続的な利用がより簡単になります。

プロジェクトを設定する

  • 関連するリポジトリを1つのプロジェクトにまとめる： サービスごと、またはチームごとに1つのプロジェクトを作成することで、検出結果の帰属を明確にし、レビュー担当者が他人に関係する結果をかき分けて探す必要がなくなります。バックエンドとそのクライアントアプリのように連携して動作するリポジトリは、同じプロジェクトに入れることで、Claudeがそれらをまたいで問題を追跡できます。1つのプロジェクトには、GitHubまたは他のGitプロバイダーのリポジトリを最大8つまで含めることができます。
  • 大規模リポジトリの範囲を絞る： 大規模なリポジトリやモノレポでは、各リポジトリにフォルダのスコープを設定し、対象にする必要のないフォルダを除外します。範囲を狭めることで決定性が高まり、Claudeの注意が集中します。それでもClaudeは、必要に応じて、除外したフォルダも含め、より広いコードベース全体からロジックを追跡し、文脈を取得できます。
  • コードからは分からないことを追加する： コードがどのようにデプロイされているか、誰がアクセスできるか、どのリスクを受け入れているかをClaudeに伝えます。Claudeはこの情報を各プロジェクトの脅威モデルとして保持し、それを使って何を指摘し、どのように評価するかを判断します。脅威モデルの閲覧と編集、またはアーキテクチャドキュメントなどのドキュメントの追加を行うには、プロジェクトの「Resources」タブを開きます。Fullロールを持つユーザーは、これらを編集できます。

トリアージして共同作業する

  • トリアージ時に理由とメモを追加する： 検出結果をトリアージする際は、理由を選択してトリアージメモを追加し、監査証跡を作成して今後のレビュー担当者に背景情報を提供しましょう。Claudeは却下された検出結果のメモも読み取り、プロジェクトに活用します。また、監査やコンプライアンスの目的では、各検出結果に、誰がいつ変更したかを示す「History」が保持されます。

  • プロジェクトをチームメイトと共有する： プロジェクトで「Share」をクリックし、特定のメンバーにロールを付与します。

    • Full： 検出結果、設定、アクセスできるユーザーの管理
    • Triage： 検出結果の閲覧、ステータスの更新、修正の開始
    • View： 最新情報の把握のみ

    プロジェクトを組織全体と共有することもできます。

ツールを接続する

  • APIで検出結果を自分のシステムに取り込む： Claude Securityの設定で個人アクセストークンを作成します。次に、Claude Security APIを使用して、検出結果をチケット管理、脆弱性管理、レポートの各ツールに取り込み、そこから解決できるようにします。これにより、トリアージとステータスがチームが使用している他のすべてと一緒に管理されます。
  • コネクタを使って1つのセッションで修正と解決を行う： Claude Securityコネクタを使えば、エンジニアはClaudeまたはClaude Codeで検出結果を呼び出し、修正し、同じセッション内で解決できます。
  • Webhookでチームに通知する： Claude Securityの設定でWebhookを作成し、新規検出結果のイベントを自分のシステムにリアルタイムでプッシュします。これらのWebhookをSlackやJiraなどのツールに接続すれば、誰もダッシュボードを確認しなくてもトリアージを開始できます。

コストとアクセスを管理する

  • 各プロジェクトのコストを追跡する： プロジェクト設定で「Usage」を開くと、そのプロジェクトの今月これまでのコストと日ごとのコストを確認できます。
  • カスタムロールで他のチームに展開する： 管理者はカスタムロールを使って、どのRBACロールがプロジェクトを作成できるか、また誰がすべてのプロジェクトを閲覧、トリアージ、管理できるかを決めることができます。