mcpField
S
stride-analysis-patterns

stride-analysis-patterns

github.com/hash-id安全247 次安装4 天前更新
代码仓库

关于 stride-analysis-patterns

一项运用 STRIDE 识别系统设计威胁的技能，面向安全评审、威胁建模文档和团队培训。它通过分类矩阵与模板引导系统化分析。

主要功能

  1. 01六类 STRIDE 威胁
  2. 02威胁分析问题矩阵
  3. 03模板与完整示例
  4. 04威胁建模实践建议

适用场景

  1. 01启动威胁建模
  2. 02分析系统架构
  3. 03记录安全设计决策
  4. 04准备合规或审计材料

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/hash-id/openspec-schema --skill stride-analysis-patterns

安装后在 Claude Code 中输入/stride-analysis-patterns确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
VENDOR.md
references/
details.md

详细介绍

STRIDE 分析模式

使用 STRIDE 方法论进行系统化威胁识别。

何时使用此技能

  • 启动新的威胁建模会话
  • 分析现有系统架构
  • 审查安全设计决策
  • 创建威胁文档
  • 对团队进行威胁识别培训
  • 合规与审计准备

核心概念

1. STRIDE 类别
S - Spoofing       → Authentication threats
T - Tampering      → Integrity threats
R - Repudiation    → Non-repudiation threats
I - Information    → Confidentiality threats
    Disclosure
D - Denial of      → Availability threats
    Service
E - Elevation of   → Authorization threats
    Privilege
2. 威胁分析矩阵
类别问题控制家族
仿冒攻击者能否伪装成他人？身份验证
篡改攻击者能否修改传输中/静态数据？完整性
抵赖攻击者能否否认操作？日志/审计
信息泄露攻击者能否访问未授权数据？加密
拒绝服务攻击者能否破坏可用性？速率限制
权限提升攻击者能否获得更高权限？授权

模板与详细示例

完整模板库位于 references/details.md。当您需要此技能的具体模板时，请阅读该文件。

最佳实践

应做
  • 让利益相关者参与 - 安全、开发和运维视角
  • 系统化 - 覆盖所有 STRIDE 类别
  • 现实地优先排序 - 关注高影响威胁
  • 定期更新 - 威胁模型是活文档
  • 使用可视化辅助 - DFD 有助于沟通
不应做
  • 不要跳过类别 - 每个类别揭示不同威胁
  • 不要假设安全 - 质疑每个组件
  • 不要孤立工作 - 协作建模更好
  • 不要忽视低概率 - 高影响威胁很重要
  • 不要在识别后停止 - 跟进缓解措施

评论

支持 Markdown