mcpField
S
security-requirement-extraction

security-requirement-extraction

github.com/hash-id安全248 次安装4 天前更新
代码仓库

关于 security-requirement-extraction

security-requirement-extraction 可将威胁分析转化为可执行的安全需求，供安全团队和架构师编写、验证及梳理合规要求。

主要功能

  1. 01将威胁模型转化为需求
  2. 02区分功能、非功能及约束需求
  3. 03记录可追溯性、可测试性、优先级和风险
  4. 04使用模板和完整示例

适用场景

  1. 01根据威胁模型编写安全用户故事
  2. 02制定安全测试用例和验收标准
  3. 03将需求映射到合规框架

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/hash-id/openspec-schema --skill security-requirement-extraction

安装后在 Claude Code 中输入/security-requirement-extraction确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
VENDOR.md
references/
details.md

详细介绍

安全需求提取

将威胁分析转化为可执行的安全需求。

何时使用本技能

  • 将威胁模型转化为需求
  • 编写安全用户故事
  • 创建安全测试用例
  • 构建安全验收标准
  • 合规需求映射
  • 安全架构文档

核心概念

1. 需求类别
Business Requirements → Security Requirements → Technical Controls
         ↓                       ↓                      ↓
  "Protect customer    "Encrypt PII at rest"   "AES-256 encryption
   data"                                        with KMS key rotation"
2. 安全需求类型
类型关注点示例
功能性系统必须做什么“系统必须对用户进行身份验证”
非功能性系统必须如何表现“身份验证必须在 <2s 内完成”
约束施加的限制“必须使用经批准的加密库”
3. 需求属性
属性描述
可追溯性链接到威胁/合规
可测试性可以被验证
优先级业务重要性
风险级别未满足时的影响

模板和详细的工作示例

完整模板库位于 references/details.md 中。当你需要本技能的具体模板时，请阅读该文件。

最佳实践

应当
  • 追溯到威胁 - 每条需求都应映射到威胁
  • 具体明确 - 含糊的需求无法测试
  • 包含验收标准 - 定义“完成”
  • 考虑合规 - 尽早映射到框架
  • 定期审查 - 需求会随威胁而演变
不应当
  • 不要泛泛而谈 - “要安全”不是需求
  • 不要跳过理由 - 解释其为何重要
  • 不要忽视优先级 - 并非所有需求都同等重要
  • 不要忘记可测试性 - 如果你无法测试它，你就无法验证它
  • 不要孤立工作 - 让利益相关者参与

评论

支持 Markdown