# コードセキュリティ監査 Code Security Audit は、セキュリティ重視の監査タイプです [AIコード解析](https://help.aikido.dev/docs/docs-ja/ai-code-analysis/ai-code-analysis)。ペンテスト級の推論を用いて、ソースコード内の脆弱性、ロジック上の欠陥、エクスプロイトチェーンを特定します。 ステージングURL、クロール、ペンテストのスコープ設定は不要です。リポジトリを接続し、クレジットでの料金を確認して、監査を開始してください。
セクション見つかる内容対象
コードセキュリティ監査を作成する監査の種類を選び、リポジトリを選択して、クレジットコストを確認します。コードセキュリティ監査を作成する
進捗と発見事項を追跡ステータス用語、詳細タブ、発見事項の読み方。進捗と検出結果を追跡する
コードセキュリティ監査で見つかるもの対象となる脆弱性クラスと、なお実稼働ターゲットが必要なもの。コードセキュリティ監査で見つかるもの
## 仕組み ### リポジトリを接続 リポジトリは作成フローで選択します。Code Security Audit に必要なのはソースコードだけで、稼働中の対象、ドメイン、認証設定は不要です。詳細は [Aikidoはコードを保存しません](https://help.aikido.dev/docs/docs-ja/getting-started/setting-up-your-account/aikido-never-stores-your-code) 分析中にソースがどのように扱われるかについて。 ### エージェントがコードを推論する 複数のセキュリティエージェントが、接続されたコードベースを連携して調査し、ファイルをまたいでコンテキストをつなぐことで、従来の静的スキャナーでは見えないアーキテクチャ上およびロジック上の欠陥をあぶり出します。コミット `AGENTS.md` その推論を、あなたのアーキテクチャと許容済みのリスクに沿わせたい場合は、リポジトリ内で。参照 [リポジトリファイルでエージェントをガイドする](https://help.aikido.dev/docs/docs-ja/ai-and-dev-tools/guide-an-audit-with-repository-files). ### 発見事項を読む 発見事項は **課題** アセスメントのタブとFeed内で、Aikido が検出した他のすべての項目と並んで表示されます。各検出項目には、概要、根本原因、修復方法、そしてコードベースの **証拠**。 [進捗と検出結果を追跡する](https://help.aikido.dev/docs/docs-ja/ai-code-analysis/ai-code-audit-overview/track-progress-and-findings) 完全な詳細表示を見るには。 ## 価格とクレジット Code Security Audit の料金は [Aikido クレジットで](https://help.aikido.dev/docs/docs-ja/miscellaneous-info/wallet-and-credits). * 次の **料金** ステップで、確定前に正確なクレジット合計が表示されます。 * 費用は、選択したコードベースのサイズと複雑さによって決まります。大きく、または広範に広がった選択ほど、費用は高くなります。 * クレジットは **監査を開始**. これらが SAST、Deep Review、動的アプリケーションセキュリティテスト（DAST）、Attack Surface Monitoring とどう位置づくかについては、をご覧ください [どの Aikido 製品を使うべきですか？](https://help.aikido.dev/docs/docs-ja/getting-started/which-aikido-product-should-i-use). ## Code Security Audit と Aikido Pentest の比較 どちらも同じエージェント型エンジンで動作しますが、答える問いは異なります。Code Security Audit はソースコードについて推論し、Aikido Pentest は稼働中のアプリケーションを検証します。 ### Code Security Audit を使うのは次のような場合です: * 稼働環境を構成せずに、アクセス制御の不備、権限昇格、複数段階の攻撃チェーンを含む、ロジックやアーキテクチャの欠陥について深くコードを推論したい場合。 * 安定したステージング環境やQA環境の対象がない、または認証フローが実運用テストの準備ができていない場合。 * モバイルアプリ、デスクトップアプリ、組み込みシステム、ライブラリなど、コードベースを実運用テスト向けにセットアップするのが難しい場合。オンチェーン契約に焦点を当てたレビューには、 [スマートコントラクト監査](https://help.aikido.dev/docs/docs-ja/ai-code-analysis/smart-contract-audit). * 最小限の設定で迅速に進めたい場合: リポジトリを接続し、クレジットを確認して、開始します。 * 本番デプロイに出る前に、ソース上の変更を検証したい場合。 ### Aikido Pentest を使うのは次のような場合: * 稼働中の対象があり、実際のトラフィックで実際に悪用可能かを検証したい場合。 * 再現リクエスト、攻撃対象領域のマッピング、ライブエージェントの活動を含む、実行時の証拠がほしい場合。 * スコープに、ソースに見えているものを超えて、ドメイン、認証済みユーザーロール、クロールで見つかったエンドポイントが含まれる場合。 * 必要なのは **さらに悪用する** 検証済みの発見事項をもとに、実行中のアプリに対する悪用をエスカレートし、機密データに実際に到達できるかなどの本当の影響を証明することです。 * ライブペンテストを想定する SOC 2 や ISO 27001 などのコンプライアンス要件を満たす必要がある場合。 ## Code Security Audit と SAST の比較 どちらもソースコードを見ますが、仕組みは異なります。 [静的アプリケーションセキュリティテスト（SAST）](https://help.aikido.dev/docs/docs-ja/code-scanning/scanning-practices/sast-by-aikido-supported-languages-and-security-focus) たとえば、汚染されたパラメータ、危険な API 呼び出し、またはチェック漏れのようなパターンを検出します。Code Security Audit はファイルをまたいで意図と文脈を推論するため、攻撃者視点が必要な問題を特定できます。両者は相補的です。 ### Code Security Audit を使うのは次のような場合です: * パターンマッチングでは見えない、アクセス制御の不備、権限昇格、ビジネスロジックの迂回、複数段階の攻撃チェーンを含むロジックやアーキテクチャの欠陥を見つけたい場合。 * サービス、モジュール、ヘルパーをまたいで参照を追う、ファイル横断の推論が必要な場合。 * 重要な変更、リリース、またはコードベースを分析しており、継続スキャンに加えて攻撃者視点のレビューがほしい場合。 * 単なるパターン検出ではなく、特定の検出結果について、根本原因、攻撃経路、修復方法を含むより深い文脈がほしい場合。 ### SAST を使うのは次のような場合: * インジェクションのシンク、汚染フロー、ハードコードされたシークレット、危険な API、Infrastructure as Code（IaC）の設定ミスなど、一般的な脆弱性パターンについて、各コミットごとの迅速なフィードバックがほしい場合。 * スキャンごとにクレジットを消費せず、すべてのプルリクエストとブランチを広く継続的にカバーする必要がある場合。 * 既知の危険パターンに対して、CI/CD でプルリクエストのゲートを適用している場合。 ## FAQ ### なぜ Code Security Audit にはライブ URL が不要なのですか? Code Security Audit はソースコードを直接読み取り、推論します。クロール、トラフィックの再現、ライブでの悪用はないため、向ける環境はありません。デプロイ済みの対象に対するライブテストには、を使用します [Aikido Pentest](https://help.aikido.dev/docs/docs-ja/pentests/aikido-pentest). ### Code Security Audit の検出結果を再テストできますか? はい。修正をプッシュしたら、 **再テスト** をクリックして、Aikido に最新コードとの差分を再チェックさせてください。 **さらに悪用する** は Aikido Pentest のアクションです。実行中のアプリが必要です。その他の監査タイプの再テストは、で扱われます [進捗と検出結果を追跡する](https://help.aikido.dev/docs/docs-ja/ai-code-analysis/ai-code-audit-overview/track-progress-and-findings). ## 関連 {% content-ref url="create-an-ai-code-audit.md" %} [コードセキュリティ監査を作成する](https://help.aikido.dev/docs/docs-ja/ai-code-analysis/ai-code-audit-overview/create-an-ai-code-audit) {% endcontent-ref %} {% content-ref url="../../ai-and-dev-tools/guide-an-audit-with-repository-files.md" %} [リポジトリファイルでエージェントをガイドする](https://help.aikido.dev/docs/docs-ja/ai-and-dev-tools/guide-an-audit-with-repository-files) {% endcontent-ref %} {% content-ref url="../ai-code-analysis.md" %} [AIコード解析](https://help.aikido.dev/docs/docs-ja/ai-code-analysis/ai-code-analysis) {% endcontent-ref %}