senior-security

シニアセキュリティエンジニア — 脅威モデリング＋セキュリティルーター

このスキル自体が担うのは、STRIDE/DREAD 脅威モデリング（および簡易シークレットスキャン）だけです。それ以外のセキュリティ関連リクエストはすべて、その領域を担当する専門スキルに振り分けます。ここに兄弟スキルの内容を重複して記載せず、代わりに振り分けてください。

振り分け表（最初にお読みください）

ユーザーの要望...	振り分け先	そのスキルが担当する理由
脆弱性評価、ペネトレーションテストの手法、OWASP Top 10 のテスト	../security-pen-testing/	終了コードの契約を備えた vulnerability_scanner.py と dependency_auditor.py を提供
インシデントのトリアージ、SEV 分類、フォレンジック、封じ込め	../incident-response/	SEV1～SEV4 の分類体系、NIST SP 800-61 のフェーズ、incident_triage.py
本番環境の障害対応（セキュリティインシデント以外）	../incident-commander/	重大度分類ツール＋タイムライン＋ポストモーテムツール
セキュリティ監視、CVE トリアージ SLA、コンプライアンスチェック（SOC 2 など）、セキュリティヘッダー	../senior-secops/	security_scanner.py と compliance_checker.py、CVE SLA テーブル
悪意のある／敵対的なコードレビュー	../adversarial-reviewer/	BLOCK／CONCERNS／CLEAN の判定を行う、3 つのペルソナによるレビュー
一般的なレビューの一環としてのセキュアコードレビュー	../code-reviewer/	言語別の振り分け＋回帰フィクスチャ
クラウド IAM の権限昇格経路、S3 の公開、セキュリティグループ	../cloud-security/	チェックごとの終了コードに対応した cloud_posture_check.py
脅威ハンティング、IOC の一斉スキャン、異常検知	../threat-detection/	z スコアによる異常検知＋IOC の陳腐化を検出するツール
レッドチームの実施計画、ATT&CK キルチェーン	../red-team/	認可ゲートを備えた engagement_planner.py
LLM／AI の攻撃対象領域（プロンプトインジェクション、ポイズニング）	../ai-security/	ATLAS に対応した ai_threat_scanner.py

リクエストが複数の領域にまたがる場合（例：「この新しいアーキテクチャをセキュアにして」）、まずここで脅威モデルを作成してください。その出力（優先順位を付けた脅威＋緩和策）をもとに、次に読み込む兄弟スキルを判断できます。推測で複数のセキュリティスキルをまとめて読み込まないでください。

このスキルの担当範囲：STRIDE 脅威モデリング

ワークフロー

1. スコープを定義する： 保護対象のアセット、信頼境界、データフロー（外部エンティティ、プロセス、データストア、フロー）。
2. コンポーネントごとに脅威モデルを生成する：

   python3 scripts/threat_modeler.py --component "User Authentication" --assets "credentials,sessions" --json --output threats.json
   

   出力：脅威ごとの STRIDE カテゴリ、DREAD スコア（損害、再現性、悪用可能性、影響を受けるユーザー数、発見可能性 — それぞれ 1～10）、推奨される緩和策。DFD の要素ごとに繰り返します。--interactive はスコープ設定に関する質問を順番に行い、--list-threats は脅威データベースを表示します。
3. 出力を活用する： threats.json を DREAD スコアの降順で並べ替えます。平均スコアが 7 以上のものはすべて、設計をリリースする前に、担当者を明確にした緩和策が必要です。各緩和策を担当する兄弟スキルの領域に対応付けます（例：IAM の脅威 → cloud-security、インジェクションの脅威 → code-reviewer）。
4. コードベースを開いている間に、簡易シークレットスキャンを実行する：

   python3 scripts/secret_scanner.py /path/to/project --format json --severity high
   

   20 種類以上のパターン（AWS キー、GitHub トークン、秘密鍵、一般的な認証情報）を検出します。重大または高リスクの検出結果があれば、シークレットをローテーションしてシークレットマネージャーに移すまでマージをブロックします。
5. 検証ゲート： 各 DFD 要素について、少なくとも 1 つの STRIDE 項目を検討済みであること、DREAD が 7 以上のすべての脅威に担当者と緩和策があること、シークレットスキャンで高リスクまたは重大な検出結果がゼロであることを確認します。緩和策の適用後に両方のツールを再実行してください。完了の合図は文書ではなく、この再実行です。

STRIDE の要素別マトリクス

DFD 要素	S	T	R	I	D	E
外部エンティティ	X		X
プロセス	X	X	X	X	X	X
データストア		X	X	X	X
データフロー		X		X	X

（S＝なりすまし→認証、T＝改ざん→完全性、R＝否認→監査ログ、I＝情報漏えい→暗号化／アクセス制御、D＝サービス妨害→レート制限／冗長化、E＝権限昇格→最小権限。）

参考資料（必要に応じて読み込み）

ドキュメント	内容
references/threat-modeling-guide.md	STRIDE 手法、攻撃ツリー、DREAD スコアリング、DFD の作成
references/security-architecture-patterns.md	ゼロトラスト、多層防御、認証パターン、API セキュリティ
references/cryptography-implementation.md	AES-GCM、Ed25519、パスワードハッシュ化（Argon2id）、鍵管理

アーキテクチャと暗号化の参考資料は、同じ役割を担うほかの項目には含まれていないため、ここに残しています。これらの制御の運用（スキャン、コンプライアンス、監視）については、引き続き senior-secops に案内してください。