Claude Securityを使用する

Claude Securityは、Claudeに組み込まれた機能で、コードベースのセキュリティ脆弱性を継続的に監視し、各検出結果が修正されるまで追跡し、人間がレビューするための対象を絞ったパッチを提案します。従来の方法では見落とされることが多い問題を見つけて修正するのに役立ちます。

開始方法と主要企業がこのツールをどのように使用しているかについては、こちらをご覧ください：Claude Securityの開始。

Claude Securityを使用すると、以下のことができます：

検出結果は以下の例のカテゴリに分類されます。

インジェクション（SQL、コマンド、コード、XSS）：信頼できない入力がクエリ構造を変更するか、実行されます。例：' OR 1=1--, ; rm -rf /、<script>コメント内。

インジェクション（XXE、ReDoS）：パーサーまたは正規表現が細工された入力によって悪用されます。例：XML <!ENTITY>が/etc/passwdを読み取ります。

パスとネットワーク（パストラバーサル、SSRF、オープンリダイレクト）：入力がファイルパス、リクエスト宛先、またはリダイレクトを制御します。例：../../etc/passwd、http://169.254.169.254/をフェッチします。

認証とアクセス（AuthN バイパス、PrivEsc、IDOR/BOLA、CSRF、Race）：アクセスチェックが欠落、スキップ可能、またはレースです。例：GET /orders/123は他のユーザーの注文を返します。

メモリ安全性（バッファ/整数オーバーフロー、UAF、安全でない誤用）：入力が境界を超えて書き込み、算術をラップするか、解放されたメモリにヒットします。主にC/C++/Rust unsafe。

暗号化（タイミングリーク、アルゴリズム混乱、弱いプリミティブ）：秘密依存ブランチ、JWT alg=none、またはセキュリティパスのMD5/SHA-1/DES/ECB。

逆シリアル化（任意の型インスタンス化）：信頼できないバイトがオブジェクト構築を駆動します— pickle、Java readObject、YAML load。多くの場合、RCEと同等です。

プロトコルとエンコーディング（キャッシュ安全性、エンコーディング混乱、長さプレフィックス信頼）：レイヤーが不一致または宣言されたサイズを信頼します。例：Hostヘッダーを介したキャッシュポイズニング。

重大度はカテゴリ自体ではなく、コードベースでどの程度悪用可能かに基づいて検出結果ごとに割り当てられます。そのため、同じカテゴリが異なるリポジトリで異なる重大度に該当する可能性があります。Claudeはプロジェクトの脅威モデルを使用して重大度を評価します。

各検出結果には以下のフィールドが含まれます：

claude.ai/securityページは、接続されたGitHubアカウントに対してユーザーごとのチェックを実行するため、組織全体のインストールが他のユーザーで機能していても、あなたに対しては失敗する可能性があります。考えられる原因はいくつかあります:

Claude Securityを使用する前に何が必要ですか?

アクティブなClaude Enterpriseプラン、各ユーザーのプレミアムシート、および消費課金が有効な使用クレジット。オーナーが組織設定 > Claude SecurityでClaude Securityを有効にします。セットアップ手順については、はじめガイドを参照してください。

Claude Securityにリポジトリへのアクセスを許可するにはどうすればよいですか?

GitHub.comおよびGitHub Enterprise Serverの場合、オーナーがClaude GitHub Appをインストールし、スキャンするリポジトリへのアクセスを許可します。GitLabやBitbucketなどの他のGitプロバイダーの場合、リポジトリのアドレスと認証トークンが必要です。

GitHub上にないリポジトリをスキャンできますか?

はい。プロジェクトはGitHub.comおよびGitHub Enterprise Server上でホストされているリポジトリ、または認証トークンを使用して他のGitサーバー上でホストされているリポジトリ(公開アクセス可能な自己ホスト型Gitサーバーを含む)で作成できます。

許可する必要があるIPアドレスはどれですか?

IPアドレスアローリストに関するAnthropicガイドを使用してください。GitHub Enterprise ServerまたはGitプロバイダーを使用する場合、Claude Securityがリポジトリに到達できるように、インスタンスはこれらのIPアドレスからのインバウンドトラフィックを許可する必要があります。

Claude Securityはゼロデータ保持(ZDR)をサポートしていますか?

いいえ。Anthropicは法律で要求される場合、または使用ポリシー違反に対処するために必要な場合、データを保持する可能性があります。

最新の更新で既存のプロジェクトはどうなりますか?

既存のプロジェクトは今日と同じように実行され続け、Claude Securityホームページからアクセスできます。新しいプロジェクトは新しいエクスペリエンスを使用します。

既存のプロジェクトを移行できますか?

はい。プロジェクトを所有している場合。それを開いて「プロジェクトを移行」をクリックするか、Claude Securityホームページで「プロジェクトを移行」をクリックして、所有しているすべてのプロジェクトを移行します。Claude Securityは新しいプロジェクトを作成し、発見をそれにコピーし、元のプロジェクトをアーカイブします。メンバー、ウェブフック、除外ディレクトリ、スキャン履歴、およびスケジュール済みスキャンはコピーされません。GitHub Enterpriseプロジェクトは移行できません。

最初のスキャンにはどのくらい時間がかかりますか?

リポジトリのサイズによっては、ベースラインスキャンに数分から数時間かかる場合があります。実行中にページを離れることができます。Claude Securityのメール通知を有効にしている場合、プロジェクトのスキャンが完了し、新しい発見がある場合、メールを受け取ります。

フォローアップスキャンにはどのくらい時間がかかりますか?

スキャン時間はリポジトリとエージェントのアクションに基づいて異なります。

ベースラインスキャン後、Claudeはどのくらいの頻度でスキャンしますか?

Claudeは新しいコミットをチェックし、リスクと複雑さに基づいて定期的に変更をスキャンします。固定スケジュールはありません。

同じコードの2つのスキャンが異なる結果を返すのはなぜですか?

スキャンは設計上確率的です。従来の静的アナライザーとは異なり、Claude Securityは各実行に分析を適応させるエージェントを使用し、固定パターンマッチを適用するのではなくコードコンテキストについて推論します。これにより、ロジックレベルの脆弱性をキャッチするために必要な分析の深さが可能になります。

大規模なリポジトリまたはモノレポをどのようにセットアップしますか?

リポジトリ全体をスキャンするのではなく、リポジトリにフォルダスコープを設定し、カバーする必要のないフォルダを除外します。Claudeは必要に応じてコードベースの残りの部分からコンテキストを取得できます。

プロジェクトは何個のリポジトリを持つことができますか?

最大8個。リポジトリはスコープ内にあり、Claudeがスキャンして発見を報告するか、コンテキストのみに使用され、Claudeがスキャン中に読み取るが発見を報告しないかのいずれかです。両方が制限にカウントされます。プロジェクトのリソースタブでプロジェクトのリポジトリを管理します。

Claudeに環境について知らせるにはどうすればよいですか?

プロジェクトの知識タブを開いて、脅威モデルを編集し、アーキテクチャドキュメントなどのドキュメントを追加します。Claudeはそれらを使用して、何にフラグを立てるか、どのように評価するかを決定します。

Claude Securityはどのモデルを使用していますか?

Claude Securityスキャンはクロード神話モデルによって駆動されます。ユーザーは直接モデルアクセスなしで発見を受け取ります。各プロジェクトのClaudeとのチャットは、組織が許可するモデルからチームが選択するモデルを使用します。Claude Securityの特定のサブコンポーネントは、Mythosクラスの推論が不要な場合(たとえば、プロジェクトディレクトリを列挙する場合)、他のモデルを使用する場合があります。

重大度はどのように割り当てられ、変更できますか？

Claudeは各検出結果をプロジェクトの脅威モデルに対して評価し、チームはそれを編集・修正できます。

検出結果が自分の環境では実行不可能な攻撃を説明している場合はどうなりますか？

Claudeはコードから脅威モデルを作成するため、デプロイメントコンテキストと会社が受け入れたパターンを見落とす可能性があります。プロジェクトのチャットで、Claudeに検出結果が間違っている理由を説明し、脅威モデルを更新するよう依頼してください。Claudeは脅威モデルを使用して、何にフラグを立てるか、どのように評価するかを決定します。

検出結果を修正するにはどうすればよいですか？

検出結果の「修正」をクリックしてClaude Codeを開き、その特定の脆弱性を修正します。クラウド上のClaude Codeがない場合は、プロンプトを自分のClaude Codeにコピーします。

修正追跡はどのように機能しますか？

Claudeはリポジトリのコードが変更されると検出結果を再確認します。修正済みとしてマークされた検出結果は、Claudeが後で問題を再度検出した場合、自動的に再度開きます。

検出結果を却下するとどうなりますか？

却下された検出結果は今後のスキャンに再度表示されません。検出結果を誤検知、受け入れたリスク、重複、またはその他の理由として却下でき、トリアージノートを追加できます。

検出結果を自分のツールにエクスポートするにはどうすればよいですか？

検出結果を自分の追跡・通知システムにエクスポートするには、Claude Security API、Claude Securityコネクタ、またはWebhookを使用します。

Claude Security APIを使用するにはどうすればよいですか？

Claude Securityの設定で個人用アクセストークンを作成します。トークンはあなたとして機能し、あなたが見ることができ、変更できるもののみにアクセスできます。APIを使用すると、プロジェクトと検出結果をリストして読み取り、検出結果を解決して再度開き、プロジェクトとそのリポジトリを作成・管理できます。

Claude Securityコネクタ（MCP）は何ができますか？

Claude Securityコネクタを使用すると、ClaudeとClaude Codeはプロジェクトと検出結果をリストして読み取り、依頼に応じて検出結果を解決または再度開くことができます。

新しい検出結果があるときに通知を受け取るにはどうすればよいですか？

Claude Securityの設定でWebhookを作成して、新しい検出結果イベントをSlackやJiraなどの自分のシステムにプッシュします。

管理者はClaude Securityを使用できるユーザーをどのように制御しますか？

管理者は、カスタムロールで機能を設定することで、どのRBACロールがプロジェクトを作成でき、どのロールがすべてのプロジェクトを表示、トリアージ、または管理できるかを決定できます。

プロジェクトを共有するにはどうすればよいですか、各ロールは何ができますか？

プロジェクトで「共有」をクリックしてメンバーにロールを付与します：フル（検出結果、設定、アクセス権を管理）、トリアージ（検出結果を表示、ステータスを更新、修正を開始）、または表示。プロジェクト全体を組織全体と共有することもできます。

Claude Securityの費用はいくらですか？

Claude Securityは直接トークンコストのみで課金されます。追加のプラットフォーム料金はありません。使用量はプロジェクト内でClaude Securityが実行するスキャンおよびその他の作業をカバーします：脅威モデルの作成、プロジェクトチャット、修正の確認。

Claude Securityの費用を制御・追跡するにはどうすればよいですか？

Claude Securityの支出制限を個別に設定できます。プロジェクト設定の「使用量」を開くと、月初からの費用と1日あたりの費用が表示されます。

更新されたClaude Securityのローンチオファーはありますか？

はい、対象となるClaude Enterpriseの組織は、2026年12月31日までの2ヶ月間、月額最大$25,000の無料使用クレジットを受け取ります。詳細なローンチオファー条件は以下をご覧ください。

ローンチオファーは旧バージョンにも適用されますか？

いいえ、ローンチオファーは新しいバージョンで作成されたプロジェクトにのみ適用されます。

Claude Code用Claude Securityプラグインとは何ですか？

Claude Code用Claude Securityプラグインは、Claude Securityと同じテクノロジーに基づいた別の機能です。Anthropicのホストされたエージェントインフラストラクチャに依存せずにスキャナーをワークフローに直接統合したいユーザー、ゼロデータ保持（ZDR）要件がある、またはサードパーティプロバイダーを通じてモデルアクセスが必要なユーザーが利用できます。詳細はこちら：コードベースの脆弱性をスキャン。

Claude Code用Claude Securityプラグインは同じモデルを使用していますか？

必ずしもそうではありません。プラグインはClaude Codeアカウントで利用可能なモデルを使用します。

使用範囲：Claude Securityは、あなたまたはあなたの会社が所有し、スキャンするために必要なすべての権利を保有するコードのスキャンにのみ使用します。サードパーティが所有またはライセンスしたコード（オープンソースプロジェクトや会社のコードベースに含まれていないリポジトリを含みますが、これに限定されません）のスキャンにClaude Securityを使用しないでください。

対象者：Claude Enterpriseの組織（AWS Marketplaceを通じて購入したClaude Enterpriseを含む）。

内容：連続する2ヶ月間のそれぞれにおいて、Claude Security使用量に対する最大$25,000のプロモーションクレジット。各月は組織の開始日から翌月の同じ日まで実行されます。月から月への未使用クレジットは繰り越されません。

取得方法：サインアップは不要です。クレジットは新しいClaude Securityの使用に自動的に適用されます。以前のバージョンのプロジェクトでの使用は、移行されるまでカバーされません。

開始時期：既にClaude Enterpriseを持つ組織は2026年10月21日に開始します。その日付以降にClaude Enterpriseにサインアップした組織は、サインアップした日に開始します。2ヶ月間は、組織がClaude Securityを使用するかどうかに関わらず実行されます。

終了時期：オファーは2026年12月31日（UTC）の終了時に終了します。2ヶ月間が終了していなくても終了します。2026年11月1日以降にサインアップした組織は、2ヶ月間全体を取得できません。

クレジットの適用方法：クレジットは組織のコミット済み支出または使用クレジットの前に使用され、プリペイド使用クレジットとは別です。クレジットが使用されるか、オファーが終了した後、Claude Security使用量は直接トークンコストで課金されます。

表示場所：組織管理者は、組織設定 > 使用量のサービスの下、または組織設定 > Claude Securityの支出制限の下でプロモーション残高を確認できます。

Claude プロモーションクレジットオファー条件も適用されます。これには、クレジットが没収される場合とオファーが変更される場合が含まれます。このオファーに関するこの記事と異なる場合は、この記事が優先されます。