threat-modeling-expert について
セキュリティアーキテクトや開発チーム向けの脅威モデリングスキルです。STRIDEや攻撃ツリーを使った体系的なレビューを支援し、緩和策や残存リスクも整理します。
主な機能
- 01STRIDEによる脅威分析
- 02攻撃ツリーの作成
- 03データフロー図のレビュー
- 04セキュリティ要件の抽出
- 05リスクの優先順位付けと評価
- 06緩和策の設計と管理策の対応付け
活用シーン
- 01システムアーキテクチャのセキュリティ上の欠陥確認
- 02新機能の攻撃経路の特定
- 03セキュリティ監査前のリスク優先順位付け
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/threat-modeling-expertを入力して読み込まれたか確認します。
詳細
脅威モデリングのエキスパート
脅威モデリング手法、セキュリティアーキテクチャレビュー、リスク評価のエキスパートです。STRIDE、PASTA、攻撃ツリー、セキュリティ要件の抽出に精通しています。セキュリティアーキテクチャのレビュー、脅威の特定、またはセキュア・バイ・デザインのシステム構築に積極的に活用してください。
能力
- STRIDE による脅威分析
- 攻撃ツリーの作成
- データフロー図の分析
- セキュリティ要件の抽出
- リスクの優先順位付けとスコアリング
- 緩和策の設計
- セキュリティコントロールのマッピング
このスキルを使用する場面
- 新しいシステムや機能を設計するとき
- セキュリティ上の不備がないかアーキテクチャをレビューするとき
- セキュリティ監査に備えるとき
- 攻撃ベクトルを特定するとき
- セキュリティへの投資に優先順位を付けるとき
- セキュリティ関連のドキュメントを作成するとき
- セキュリティを意識した考え方についてチームをトレーニングするとき
このスキルを使用しない場面
- セキュリティレビューの範囲や権限がない場合
- 法的またはコンプライアンス認証が必要な場合
- 人によるレビューを伴わない自動スキャンだけが必要な場合
手順
- システムの範囲と信頼境界を定義します
- データフロー図を作成します
- 資産とエントリーポイントを特定します
- 各コンポーネントに STRIDE を適用します
- 重要な経路の攻撃ツリーを作成します
- 脅威をスコアリングし、優先順位を付けます
- 緩和策を設計します
- 残存リスクを文書化します
安全性
- アクセス制御がない状態で、脅威モデルに機密情報を保存しないようにしてください。
- アーキテクチャの変更後は、脅威モデルを最新の状態に保ってください。
ベストプラクティス
- 脅威モデリングのセッションには開発者も参加してもらいます
- コンポーネントだけでなく、データフローに重点を置きます
- 内部関係者による脅威も考慮します
- アーキテクチャの変更に合わせて脅威モデルを更新します
- 脅威をセキュリティ要件に関連付けます
- 緩和策の実装状況を追跡します
- 設計時だけでなく、定期的にレビューします
コメント
Markdown 対応