关于 threat-modeling-expert
面向系统设计与安全架构审查团队的威胁建模技能，运用 STRIDE、攻击树等方法识别、排序并缓解风险。
主要功能
- 01STRIDE 威胁分析
- 02构建攻击树
- 03审查数据流
- 04提取安全需求
- 05风险评分与排序
- 06制定缓解方案
适用场景
- 01审查系统设计中的威胁
- 02准备安全架构文档
- 03确定风险与缓解措施的优先级
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/threat-modeling-expert确认已加载。
详细介绍
威胁建模专家
专精于威胁建模方法论、安全架构评审和风险评估。精通 STRIDE、PASTA、攻击树和安全需求提取。请主动用于安全架构评审、威胁识别或构建安全设计系统。
能力
- STRIDE 威胁分析
- 攻击树构建
- 数据流图分析
- 安全需求提取
- 风险优先级排序与评分
- 缓解策略设计
- 安全控制映射
适用场景
- 设计新系统或新功能
- 评审架构中的安全缺口
- 准备安全审计
- 识别攻击向量
- 确定安全投入的优先级
- 创建安全文档
- 培训团队的安全思维
不适用场景
- 你缺乏安全评审的范围或授权
- 你需要法律或合规认证
- 你只需要自动化扫描，不需要人工评审
说明
- 定义系统范围和信任边界
- 创建数据流图
- 识别资产和入口点
- 对每个组件应用 STRIDE
- 为关键路径构建攻击树
- 对威胁评分并排序优先级
- 设计缓解措施
- 记录残余风险
安全
- 避免在威胁模型中存储敏感细节而不设置访问控制。
- 架构变更后保持威胁模型更新。
最佳实践
- 让开发者参与威胁建模会话
- 关注数据流，而不仅仅是组件
- 考虑内部人员威胁
- 随架构变更更新威胁模型
- 将威胁与安全需求关联
- 跟踪缓解措施到实现
- 定期评审，而不仅仅是在设计时
示例
用户请求：
设计新系统或新功能。
限制
- 仅当任务明确符合上述范围时才使用此 skill。
- 不要将输出视为针对特定环境验证、测试或专家评审的替代品。
- 如果缺少必要输入、权限、安全边界或成功标准，请停止并请求澄清。
评论
支持 Markdown