关于 security-requirement-extraction
此技能将威胁分析转化为可执行的安全需求，面向编写安全需求、测试用例和验收标准的团队。它强调需求与威胁的可追溯性、可测试性、优先级和风险。
主要功能
- 01将威胁模型转为安全需求
- 02编写安全用户故事与测试用例
- 03定义验收标准并映射合规要求
- 04记录可追溯性、优先级和风险
适用场景
- 01将威胁分析转为可验证需求
- 02为安全功能编写用户故事
- 03建立安全测试用例和验收标准
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/security-requirement-extraction确认已加载。
附带文件references/details.md
详细介绍
安全需求提取
将威胁分析转化为可执行的安全需求。
何时使用本技能
- 将威胁模型转化为需求
- 编写安全用户故事
- 创建安全测试用例
- 构建安全验收标准
- 合规需求映射
- 安全架构文档
核心概念
1. 需求类别
Business Requirements → Security Requirements → Technical Controls
↓ ↓ ↓
"Protect customer "Encrypt PII at rest" "AES-256 encryption
data" with KMS key rotation"
2. 安全需求类型
| 类型 | 关注点 | 示例 |
|---|---|---|
| 功能性 | 系统必须做什么 | “系统必须对用户进行身份验证” |
| 非功能性 | 系统必须如何表现 | “身份验证必须在 <2s 内完成” |
| 约束 | 施加的限制 | “必须使用经批准的加密库” |
3. 需求属性
| 属性 | 描述 |
|---|---|
| 可追溯性 | 链接到威胁/合规 |
| 可测试性 | 可以被验证 |
| 优先级 | 业务重要性 |
| 风险级别 | 未满足时的影响 |
模板和详细的工作示例
完整模板库位于 references/details.md 中。当你需要本技能的具体模板时，请阅读该文件。
最佳实践
应当
- 追溯到威胁 - 每条需求都应映射到威胁
- 具体明确 - 含糊的需求无法测试
- 包含验收标准 - 定义“完成”
- 考虑合规 - 尽早映射到框架
- 定期审查 - 需求会随威胁而演变
不应当
- 不要泛泛而谈 - “要安全”不是需求
- 不要跳过理由 - 解释其为何重要
- 不要忽视优先级 - 并非所有需求都同等重要
- 不要忘记可测试性 - 如果你无法测试它，你就无法验证它
- 不要孤立工作 - 让利益相关者参与
评论
支持 Markdown