stride-analysis-patterns

STRIDE 分析パターン

STRIDE 手法を用いた体系的な脅威の特定。

このスキルを使用する場面

• 新しい脅威モデリングセッションを開始するとき
• 既存のシステムアーキテクチャを分析するとき
• セキュリティ設計上の判断をレビューするとき
• 脅威に関するドキュメントを作成するとき
• 脅威の特定についてチームをトレーニングするとき
• コンプライアンスや監査の準備をするとき

このスキルを使用しない場面

• タスクが STRIDE 分析パターンに関係しない場合
• この範囲外の別の分野やツールが必要な場合

手順

• 目標、制約、必要な入力を明確にします。
• 関連するベストプラクティスを適用し、結果を検証します。
• 実行可能な手順と検証方法を提示します。
• 詳細な例が必要な場合は、resources/implementation-playbook.md を開きます。

リソース

• 詳細なパターンと例については、resources/implementation-playbook.md を参照してください。

制限事項

• このスキルは、タスクが上記の範囲に明確に該当する場合にのみ使用してください。
• 出力を、環境固有の検証、テスト、専門家によるレビューの代わりとして扱わないでください。
• 必要な入力、権限、安全上の境界、成功基準が不足している場合は、作業を中断して確認してください。

モデリングとスコアリングの制限

Python ヘルパーは、ユーザー提供のモデルデータからプロンプトを生成します。ソフトウェアを検査したり、実際の脆弱性、制御の有効性、コンプライアンスを確定したりするものではありません。影響度×発生可能性、および例に示すすべての重大度や期限は、説明用の順序尺度に基づくポリシー上の選択であり、CVSS や較正済みの確率ではありません。候補ごとに、証拠、前提、資産、信頼境界、担当者、残存リスクの受容を記録してください。信頼レベルの数値が同じでも、テナント、ID、管理上の境界をまたぐ場合があります。数値の大小だけに頼らず、境界への所属を明示的にモデル化してください。暗号化しても、許可されたアクセスの悪用は防げません。また、認証ロックアウトはサービス拒否のリスクを生む可能性があります。不足している要素やモデル化されていないインタラクションの種類は、脅威がないものとして黙って扱わず、明示してください。テンプレートは互いに独立した部分ブロックです。使用前に、インポート、ID の重複、構造化モデル入力を検証してください。秘密情報を含む図やログは非公開にし、別途許可を得ずに攻撃シミュレーションを実行しないでください。