Repolode
投稿する
zizmorcore

zizmorcore/zizmor

GitHub Actions、Dependabot、pre-commitなどのCI/CD設定に潜むセキュリティ問題を検出し、修正案を提示する静的解析ツールです。

GitHub で見る公式サイト
スター
6,931
フォーク
280
未解決の Issue
171
最終コミット
13 時間前

これは何？

zizmorは、CI/CDシステム向けの静的解析ツールです。GitHub Actions、Dependabot、pre-commitなどに対応し、ワークフローや設定ファイルをスキャンして、一般的な構成に潜むセキュリティ上の問題を検出します。

攻撃者が制御するコードの実行につながるテンプレートインジェクション、意図しない認証情報の保持や漏えい、Runnerに付与された過剰な権限スコープ、偽装コミットや紛らわしいGit参照などを検出します。多くの検出結果には修正案も提示され、監査ルールは公式サイトで説明されています。

zizmorはRustで書かれており、MITライセンスで公開されています。コマンドラインツールとしてインストールし、ローカルまたはCIパイプラインで実行することを想定しています。

主な機能

  • 01攻撃者が制御するコードの実行につながるテンプレートインジェクションを検出します。
  • 02ワークフロー内の意図しない認証情報の保持や漏えいを検出します。
  • 03Runnerに付与された過剰な権限スコープを警告します。
  • 04偽装コミットや紛らわしいGit参照を特定します。
  • 05GitHub Actions、Dependabot、pre-commitの設定に対応します。

ユースケース

  • 変更をマージする前に、GitHub Actionsのワークフローを監査してセキュリティ上の問題を確認する。
  • ソフトウェアのビルドやデプロイを行うCIパイプラインに、静的セキュリティチェックを追加する。
  • リポジトリの権限設定や、自動化における認証情報の取り扱いを確認する。

クイックスタート

  1. 1

    zizmorのドキュメントに記載されているインストール手順に従ってください

収録されている特集

セキュリティ診断・監査・脅威情報ツールテストフレームワークと自動テストツール

トピック

#github-actions#security#static-analysis#ci-cd#devsecops#rust#security-tools

よくある質問

zizmor とは？
GitHub Actions、Dependabot、pre-commitなどのCI/CD設定に潜むセキュリティ問題を検出し、修正案を提示する静的解析ツールです。 zizmorは、CI/CDシステム向けの静的解析ツールです。GitHub Actions、Dependabot、pre-commitなどに対応し、ワークフローや設定ファイルをスキャンして、一般的な構成に潜むセキュリティ上の問題を検出します。
zizmor は無料で使えますか？ライセンスは？
zizmor は MIT ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。
zizmor は今もメンテナンスされていますか？
活発にメンテナンス中。zizmor の最終コミットは 2026年11月7日 です。
zizmor は何に使えますか？
変更をマージする前に、GitHub Actionsのワークフローを監査してセキュリティ上の問題を確認する。 ソフトウェアのビルドやデプロイを行うCIパイプラインに、静的セキュリティチェックを追加する。 リポジトリの権限設定や、自動化における認証情報の取り扱いを確認する。
zizmor のインストール方法は？
zizmorのドキュメントに記載されているインストール手順に従ってください
zizmor はどこで入手できますか？
ソースコードとインストール手順は GitHub にあります：https://github.com/zizmorcore/zizmor

概要はプロジェクトの README をもとに AI が生成しています。GitHub の数値は毎日更新されます。

関連プロジェクト