概要
Claude Securityは、Claudeに組み込まれた機能で、コードベースをスキャンしてセキュリティ脆弱性を検出し、人間のレビュー用にターゲット化されたパッチを提案します。従来の方法では見落とされることが多い問題を見つけて修正するのに役立ちます。詳細はClaude Securityについてをご覧ください。
Claude Securityは現在、Enterpriseプランのユーザー向けにパブリックベータで利用可能です。
Claude Securityでは以下のことができます：
コードを並列でスキャン — Claude Securityはコンテキストを理解し、ファイル全体のデータフローをトレースし、従来のスキャナーでは検出できない複雑なマルチコンポーネント脆弱性パターンを特定します。
検出結果を検証 — すべての検出結果は多段階の検証を経て、Claudeが結果に異議を唱えてから表示します。結果として、より多くの実際の問題が報告され、誤検知が減少します。
レビューとパッチ — 検出結果からClaude Codeセッションに移動して、提案されたフィックスをレビューします。脆弱性を迅速に解決し、バックログを増やさないようにします。
開始方法と主要企業がこのツールをどのように使用しているかについては、こちらをご覧ください：Claude Securityの開始。
Claude Securityを有効にする
組織の所有者は、組織設定 > Claude Securityに移動して、組織に対して有効にするトグルをオンにすることで、Claude Securityを有効にできます。
検出タイプ
検出は以下の例のカテゴリに分類されます。
インジェクション（SQL、コマンド、コード、XSS）：信頼できない入力がクエリ構造を変更するか、実行されます。例：' OR 1=1--、; rm -rf /、<script>コメント内。
インジェクション（XXE、ReDoS）：パーサーまたは正規表現が細工された入力によって悪用されます。例：XML <!ENTITY>が/etc/passwdを読み取ります。
パスとネットワーク（パストラバーサル、SSRF、オープンリダイレクト）：入力がファイルパス、リクエスト宛先、またはリダイレクトを制御します。例：../../etc/passwd、http://169.254.169.254/の取得。
認証とアクセス（認証バイパス、権限昇格、IDOR/BOLA、CSRF、競合状態）：アクセスチェックが欠落、スキップ可能、または競合状態です。例：GET /orders/123が他のユーザーの注文を返します。
メモリ安全性（バッファ/整数オーバーフロー、UAF、安全でない誤用）：入力が境界を超えて書き込まれ、算術がラップされ、または解放されたメモリにヒットします。主にC/C++/Rustの安全でない部分。
暗号化（タイミングリーク、アルゴリズム混同、弱いプリミティブ）：秘密依存分岐、JWT alg=none、またはセキュリティパスのMD5/SHA-1/DES/ECB。
逆シリアル化（任意の型のインスタンス化）：信頼できないバイトがオブジェクト構築を駆動します — pickle、Java readObject、YAML load。多くの場合、RCEと同等です。
プロトコルとエンコーディング（キャッシュ安全性、エンコーディング混同、長さプレフィックス信頼）：レイヤーが不一致であるか、宣言されたサイズを信頼します。例：ホストヘッダーを介したキャッシュポイズニング。
重大度
重大度は、カテゴリ自体ではなく、コードベースでの悪用可能性に基づいて検出ごとに割り当てられます。そのため、同じカテゴリが異なるリポジトリで異なる重大度に分類される場合があります。
重大度 | 基準 | 典型的な例 |
高 | デフォルトデプロイメントに対して、認証されていないリモート攻撃者によって悪用可能で、意味のある前提条件がない | パブリックAPIエンドポイントでの認証されていないコマンドインジェクション |
中 | 認証の背後で悪用可能、または1～2の現実的な前提条件が必要（特定のロール、既知の識別子、ユーザーインタラクション） | テーブルスキーマの知識が必要な認証の背後でのSQLインジェクション |
低 | 3つ以上の前提条件、ローカルのみのアクセス、または具体的に実証された攻撃パスがない | ネットワーク近接性と数千のリクエストが必要なタイミング側チャネル |
検出構造
各検出には以下のフィールドが含まれます：
タイトル — 検出の短い説明的な名前
詳細 — 検出が何であり、なぜそれが重要なのかの説明
場所 — ファイルパスと行番号、ソースにリンク
影響 — これに対処しない場合に何が起こる可能性があるか
再現手順 — 問題を再現または観察するための順序付きステップのリスト
推奨される修正 — それを解決する方法に関するガイダンス
重大度 — 高 / 中 / 低
ステータス — 未解決 / 却下 / 解決
カテゴリ — 検出タイプ
リポジトリ — リポジトリ識別子
ブランチ — 検出が生成されたブランチ名
作成日 — 検出が作成された日付
検出が却下された場合のみ表示：
却下理由
却下メモ — オプション
トラブルシューティング
セキュリティページが「GitHub Appをインストール」にリダイレクトし続ける
claude.ai/securityページは、接続されたGitHubアカウントに対してユーザーごとのチェックを実行するため、組織全体のインストールが他のユーザーに対して機能している場合でも、あなたに対して失敗する可能性があります。いくつかの潜在的な原因があります：
Claudeに接続されたGitHubアカウントがない。カスタマイズ > コネクタに移動して確認してください。
接続されたGitHubアカウントが、アプリがインストールされているGitHub組織のメンバーではない。その組織に属するアカウントを接続してください。
その組織ではSSOが認可されていない。GitHub組織がSSOを必要とする場合、Claudeアプリに対して個別に認可する必要があります。GitHub統合を使用するの手順に従ってください。
GitHub組織のIPアローリストがチェックをブロックしている。GitHubの「インストール済みGitHub AppsのIPアローリスト構成を有効にする」設定は、コードレビューなどのアプリ自体からのトラフィックをカバーしていますが、このユーザーごとのチェックはカバーしていません。これを許可するには、160.79.104.0/21を組織レベルのアローリストエントリとして手動で追加してください。範囲の完全なリストについては、IPアドレスを参照してください。
よくある質問
製品価格とコスト — スキャンは直接トークンコストのみで課金されます。Claude Securityに追加のプラットフォーム料金はありません。
スキャン長 — スキャン時間はリポジトリとエージェントのアクションに基づいて異なります。
重大度構成 — 現在のところ、重大度は構成不可です。
非GitHubリポジトリ — 現在、GitHubでホストされているリポジトリのみをスキャンできます。
ゼロデータ保持なし（ZDRなし） — Anthropicは、法律で必要な場合またはUsage Policy違反に対処するために、データを保持する場合があります。
スキャン一貫性 — スキャンは設計上確率的です。従来の静的アナライザーとは異なり、Claude Securityは、固定パターンマッチを適用するのではなく、コンテキストを推論しながら、各実行に分析を適応させるエージェントを使用します。これにより、ロジックレベルの脆弱性をキャッチするために必要な分析の深さが可能になります。
検出結果のエクスポート — 検出結果をコピーしたり、CSVまたはMarkdownとしてダウンロードしたり、プロジェクトごとのWebhookを介して独自の追跡および通知システムにプッシュしたりできます。「開始ガイド」を参照してください。
フィードバック — 右側のプロダクト内フィードバックアイコンを使用してフィードバックを共有してください。
Github用のIPアドレス — IPアドレスのアローリストについては、次のAnthropicガイドを使用してください：IPアドレス。
使用範囲：Claude Securityは、あなたまたはあなたの会社が所有し、スキャンするために必要なすべての権利を保有するコードをスキャンするためにのみ使用します。オープンソースプロジェクトやあなたの会社のコードベース（複数）に含まれていないリポジトリを含む、第三者が所有または第三者からライセンスされたコードをスキャンするためにClaude Securityを使用しないでください。