关于 senior-security
面向需要 STRIDE/DREAD 威胁模型和快速密钥扫描的团队的安全技能。它负责威胁建模，并将其他安全任务转交给指定的专业技能。
主要功能
- 01使用 STRIDE 和 DREAD 建模威胁
- 02按 20 多种模式扫描密钥
- 03排列威胁优先级并指定缓解负责人
- 04将安全请求转交专业技能
- 05为威胁修复设定验证门槛
适用场景
- 01为系统组件和数据流建立威胁模型
- 02扫描代码库中的暴露凭据
- 03将安全发现转交相关专业领域
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/senior-security确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
references/cryptography-implementation.mdsecurity-architecture-patterns.mdthreat-modeling-guide.mdscripts/secret_scanner.pythreat_modeler.py详细介绍
高级安全工程师 — 威胁建模 + 安全路由
本技能自身只负责一项工作 — STRIDE/DREAD 威胁建模（以及快速的密钥扫描）— 并将其他所有安全请求路由给负责该领域的专项技能。不要在此重复兄弟技能的内容，而是进行路由。
路由表（请先阅读）
| 用户需求... | 路由至 | 该技能负责的原因 |
|---|---|---|
| 漏洞评估、渗透测试方法论、OWASP Top 10 测试 | ../security-pen-testing/ | 提供 vulnerability_scanner.py + dependency_auditor.py，并带有退出码约定 |
| 事件分诊、SEV 分级、取证、遏制 | ../incident-response/ | SEV1–SEV4 分类体系、NIST SP 800-61 阶段、incident_triage.py |
| 生产环境故障指挥（非安全事件） | ../incident-commander/ | 严重度分类器 + 时间线 + 复盘工具 |
| 安全监控、CVE 分诊 SLA、合规检查（SOC 2 等）、安全响应头 | ../senior-secops/ | security_scanner.py + compliance_checker.py、CVE SLA 表 |
| 敌对性/对抗性代码审查 | ../adversarial-reviewer/ | 三角色审查，输出 BLOCK/CONCERNS/CLEAN 结论 |
| 作为常规审查一部分的安全代码审查 | ../code-reviewer/ | 语言分派 + 回归测试样例 |
| 云 IAM 提权路径、S3 暴露、安全组 | ../cloud-security/ | cloud_posture_check.py，每项检查有独立退出码 |
| 威胁狩猎、IOC 排查、异常检测 | ../threat-detection/ | z 分数异常检测 + IOC 时效性工具 |
| 红队行动规划、ATT&CK 攻击链 | ../red-team/ | engagement_planner.py，带授权门禁 |
| 大模型/AI 攻击面（提示词注入、投毒） | ../ai-security/ | 映射至 ATLAS 的 ai_threat_scanner.py |
如果请求跨越多个领域（例如"为这个新架构做安全加固"），先在此处进行威胁建模 — 其输出（按优先级排列的威胁 + 缓解措施）会告诉你接下来应加载哪些兄弟技能。切勿在没有依据的情况下批量加载多个安全技能。
本技能负责的内容：STRIDE 威胁建模
工作流
- **范围界定：**需要保护的资产、信任边界、数据流（外部实体、进程、数据存储、数据流）。
- 按组件生成威胁模型：
输出内容：每项威胁的 STRIDE 类别、DREAD 评分（损害性 Damage、可复现性 Reproducibility、可利用性 Exploitability、受影响用户 Affected users、可发现性 Discoverability — 每项 1–10 分），以及建议的缓解措施。对每个 DFD 元素重复此过程；python3 scripts/threat_modeler.py --component "User Authentication" --assets "credentials,sessions" --json --output threats.json--interactive会引导范围界定问题；--list-threats显示威胁数据库。 - **使用输出结果：**将
threats.json按 DREAD 评分降序排序；所有平均分 ≥ 7 的威胁，在设计发布前都需要指定明确的缓解措施负责人。将每项缓解措施映射到对应的兄弟领域（例如 IAM 类威胁 →cloud-security，注入类威胁 →code-reviewer）。 - 在打开代码库时进行快速密钥扫描：
涵盖 20 多种模式（AWS 密钥、GitHub 令牌、私钥、通用凭据）。任何严重/高危发现都会阻止合并，直至完成轮换并迁移至密钥管理服务。python3 scripts/secret_scanner.py /path/to/project --format json --severity high - **验证门禁：**每个 DFD 元素至少已考虑 1 行 STRIDE 项；每个 DREAD ≥ 7 的威胁都有负责人和缓解措施；密钥扫描结果中高危/严重发现数为零。缓解措施落地后需重新运行这两个工具 — 完成信号是重新运行的结果，而非文档本身。
各元素 STRIDE 对照矩阵
| DFD 元素 | S | T | R | I | D | E |
|---|---|---|---|---|---|---|
| 外部实体 | X | X | ||||
| 进程 | X | X | X | X | X | X |
| 数据存储 | X | X | X | X | ||
| 数据流 | X | X | X |
（S=欺骗→身份认证，T=篡改→完整性，R=抵赖→审计日志，I=信息泄露→加密/访问控制，D=拒绝服务→速率限制/冗余，E=提权→最小权限。）
参考资料（按需加载）
| 文档 | 内容 |
|---|---|
| references/threat-modeling-guide.md | STRIDE 方法论、攻击树、DREAD 评分、DFD 创建 |
| references/security-architecture-patterns.md | 零信任、纵深防御、认证模式、API 安全 |
| references/cryptography-implementation.md | AES-GCM、Ed25519、密码哈希（Argon2id）、密钥管理 |
保留架构与密码学参考文档，是因为没有同类技能提供这些内容；若要运营这些控制措施（扫描、合规、监控），仍请转至 senior-secops。
评论
支持 Markdown