mcpField
S
stride-analysis-patterns

stride-analysis-patterns

github.com/wshobson安全41.9k21.2k 次安装2 周前更新
代码仓库

关于 stride-analysis-patterns

为采用 STRIDE 方法分析新旧系统设计的团队提供结构化威胁建模参考，覆盖六类威胁，支持安全审查与文档编制。

主要功能

  1. 01六类 STRIDE 威胁
  2. 02威胁分析问题矩阵
  3. 03安全控制类别映射
  4. 04威胁建模实践建议

适用场景

  1. 01为新系统开展威胁建模
  2. 02审查架构安全设计
  3. 03编写威胁文档
  4. 04培训团队识别威胁

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/wshobson/agents --skill stride-analysis-patterns

安装后在 Claude Code 中输入/stride-analysis-patterns确认已加载。

附带文件references/details.md

详细介绍

STRIDE 分析模式

使用 STRIDE 方法论进行系统化威胁识别。

何时使用此技能

  • 启动新的威胁建模会话
  • 分析现有系统架构
  • 审查安全设计决策
  • 创建威胁文档
  • 对团队进行威胁识别培训
  • 合规与审计准备

核心概念

1. STRIDE 类别
S - Spoofing       → Authentication threats
T - Tampering      → Integrity threats
R - Repudiation    → Non-repudiation threats
I - Information    → Confidentiality threats
    Disclosure
D - Denial of      → Availability threats
    Service
E - Elevation of   → Authorization threats
    Privilege
2. 威胁分析矩阵
类别问题控制家族
仿冒攻击者能否伪装成他人？身份验证
篡改攻击者能否修改传输中/静态数据？完整性
抵赖攻击者能否否认操作？日志/审计
信息泄露攻击者能否访问未授权数据？加密
拒绝服务攻击者能否破坏可用性？速率限制
权限提升攻击者能否获得更高权限？授权

模板与详细示例

完整模板库位于 references/details.md。当您需要此技能的具体模板时，请阅读该文件。

最佳实践

应做
  • 让利益相关者参与 - 安全、开发和运维视角
  • 系统化 - 覆盖所有 STRIDE 类别
  • 现实地优先排序 - 关注高影响威胁
  • 定期更新 - 威胁模型是活文档
  • 使用可视化辅助 - DFD 有助于沟通
不应做
  • 不要跳过类别 - 每个类别揭示不同威胁
  • 不要假设安全 - 质疑每个组件
  • 不要孤立工作 - 协作建模更好
  • 不要忽视低概率 - 高影响威胁很重要
  • 不要在识别后停止 - 跟进缓解措施

评论

支持 Markdown