关于 threat-modeling-expert
面向安全架构师和开发团队的威胁建模技能，使用 STRIDE、攻击树等方法开展结构化评审，并梳理缓解措施与剩余风险。
主要功能
- 01STRIDE 威胁分析
- 02构建攻击树
- 03审查数据流图
- 04提取安全需求
- 05风险排序与评分
- 06设计缓解措施并映射控制
适用场景
- 01审查系统架构中的安全缺口
- 02识别新功能的攻击路径
- 03在安全审计前确定风险优先级
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/threat-modeling-expert确认已加载。
详细介绍
威胁建模专家
精通威胁建模方法、安全架构审查和风险评估。熟练掌握 STRIDE、PASTA、攻击树和安全需求提取。进行安全架构审查、威胁识别或构建安全设计系统时，主动使用。
能力
- STRIDE 威胁分析
- 构建攻击树
- 分析数据流图
- 提取安全需求
- 风险优先级排序与评分
- 设计缓解策略
- 映射安全控制措施
适用场景
- 设计新系统或功能
- 审查架构中的安全漏洞
- 为安全审计做准备
- 识别攻击向量
- 确定安全投资的优先级
- 编写安全文档
- 培训团队建立安全思维
不适用场景
- 缺少安全审查的范围或授权
- 需要法律或合规认证
- 只需要自动化扫描，无需人工审查
说明
- 定义系统范围和信任边界
- 创建数据流图
- 识别资产和入口点
- 对每个组件应用 STRIDE
- 为关键路径构建攻击树
- 对威胁进行评分并确定优先级
- 设计缓解措施
- 记录剩余风险
安全
- 未设置访问控制时，避免在威胁模型中存储敏感细节。
- 架构变更后，及时更新威胁模型。
最佳实践
- 邀请开发人员参与威胁建模会议
- 关注数据流，而不仅是组件
- 考虑内部人员威胁
- 随架构变更更新威胁模型
- 将威胁关联到安全需求
- 跟踪缓解措施的实施情况
- 定期审查，而不只是在设计阶段审查
评论
支持 Markdown