threat-modeling-expert について
システム設計やセキュリティアーキテクチャをレビューするチーム向けの脅威モデリングスキルです。STRIDEや攻撃ツリーなどを用いてリスクを特定し、優先順位を付けて軽減します。
主な機能
- 01STRIDEによる脅威分析
- 02攻撃ツリーの作成
- 03データフローのレビュー
- 04セキュリティ要件の抽出
- 05リスク評価と優先順位付け
- 06緩和策の計画
活用シーン
- 01システム設計の脅威レビュー
- 02セキュリティアーキテクチャ文書の準備
- 03リスクと緩和策の優先順位付け
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/threat-modeling-expertを入力して読み込まれたか確認します。
詳細
脅威モデリングエキスパート
脅威モデリング手法、セキュリティアーキテクチャレビュー、リスク評価のエキスパートです。STRIDE、PASTA、攻撃ツリー、セキュリティ要件の抽出を習得しています。セキュリティアーキテクチャレビュー、脅威の特定、またはセキュアバイデザインなシステムの構築には積極的に活用してください。
機能
- STRIDE 脅威分析
- 攻撃ツリーの構築
- データフロー図の分析
- セキュリティ要件の抽出
- リスクの優先順位付けとスコアリング
- 緩和戦略の設計
- セキュリティコントロールのマッピング
このスキルを使用する場合
- 新しいシステムや機能を設計するとき
- セキュリティ上のギャップについてアーキテクチャをレビューするとき
- セキュリティ監査の準備をするとき
- 攻撃ベクトルを特定するとき
- セキュリティ投資の優先順位を付けるとき
- セキュリティドキュメントを作成するとき
- チームにセキュリティ思考をトレーニングするとき
このスキルを使用しない場合
- セキュリティレビューのスコープや承認がない場合
- 法的またはコンプライアンス上の認証が必要な場合
- 人手によるレビューなしで自動スキャンのみが必要な場合
手順
- システムのスコープと信頼境界を定義する
- データフロー図を作成する
- 資産とエントリポイントを特定する
- 各コンポーネントに STRIDE を適用する
- クリティカルパスの攻撃ツリーを構築する
- 脅威をスコアリングして優先順位を付ける
- 緩和策を設計する
- 残存リスクを文書化する
安全性
- アクセスコントロールなしで脅威モデルに機密情報を保存することは避けてください。
- アーキテクチャの変更後は脅威モデルを最新の状態に保ってください。
ベストプラクティス
- 脅威モデリングセッションに開発者を参加させる
- コンポーネントだけでなくデータフローに注目する
- 内部関係者による脅威を考慮する
- アーキテクチャの変更に合わせて脅威モデルを更新する
- 脅威をセキュリティ要件に紐付ける
- 緩和策を実装まで追跡する
- 設計時だけでなく定期的にレビューする
例
ユーザーのリクエスト:
新しいシステムや機能を設計する。
制限事項
- このスキルは、タスクが上記のスコープに明確に一致する場合にのみ使用してください。
- 出力を、環境固有の検証、テスト、または専門家によるレビューの代替として扱わないでください。
- 必要な入力、権限、安全境界、または成功基準が欠けている場合は、作業を停止して確認を求めてください。
コメント
Markdown 対応