Compétences attack-tree-construction
🌳

attack-tree-construction

Sûr

Angriffsbäume für Bedrohungsmodellierung erstellen

Également disponible depuis: wshobson

Dieses Skill hilft Sicherheitsfachleuten, Angriffspfade systematisch zu visualisieren und Verteidigungslücken zu identifizieren, indem umfassende Angriffsbäume erstellt werden.

Prend en charge: Claude Codex Code(CC)
🥉 75 Bronze
1

Télécharger le ZIP du skill

2

Importer dans Claude

Allez dans Paramètres → Capacités → Skills → Importer un skill

3

Activez et commencez à utiliser

Tester

Utilisation de "attack-tree-construction". Build an attack tree for stealing a web application database. Include cost and detection risk for each attack vector.

Résultat attendu:

Ein hierarchischer Angriffsbaum mit Root-Knoten 'Datenbank stehlen', OR-Knoten für verschiedene Angriffskategorien (SQL-Injection, Backup-Diebstahl, Insider-Zugriff), AND-Knoten für mehrstufige Angriffe und Blattknoten annotiert mit Kosten ($, $$, $$$) und Erkennungsrisiko (Niedrig/Mittel/Hoch). Enthält Mitigationsempfehlungen pro Zweig.

Utilisation de "attack-tree-construction". Create an attack tree for account takeover via the login page. Export as Mermaid diagram.

Résultat attendu:

Mermaid-Flowchart zeigt: Root 'Kontoübernahme' → OR-Verzweigungen für Credential-Diebstahl, Authentifizierungs-Umgehung, Session-Hijacking → Blattknoten mit Schwierigkeits-Farbkodierung (grün=trivial, rot=Experte). Jedes Blatt zeigt geschätzte Kosten und Erkennungswahrscheinlichkeit.

Utilisation de "attack-tree-construction". Analyze the attack paths for a cloud infrastructure. Find the stealthiest path and prioritize mitigations.

Résultat attendu:

Analyse zeigt: (1) Heimlichster Pfad mit niedrigstem Erkennungsrisiko, (2) Kritische Knoten, die in den meisten Pfaden erscheinen, (3) Mitigationsempfehlungen sortiert nach prozentualer Abdeckungsauswirkung, (4) Offene Angriffspfade, die nicht mitigiert sind.

Audit de sécurité

Sûr
v1 • 2/24/2026

This is a defensive security skill for building attack trees - a standard threat modeling methodology. All 60 static findings are FALSE POSITIVES: backtick diagrams misidentified as shell execution, OR/AND logical operators misidentified as weak crypto, and threat modeling examples misidentified as malicious keywords. The skill contains only Python code templates for visualizing attack paths and mitigation planning.

2
Fichiers analysés
713
Lignes analysées
2
résultats
1
Total des audits
Problèmes à risque moyen (1)
resources/implementation-playbook.md:9-21resources/implementation-playbook.md:21-44resources/implementation-playbook.md:237-241resources/implementation-playbook.md:404-408resources/implementation-playbook.md:495-499SKILL.md:31SKILL.md:40
Markdown ASCII Diagram Misidentified as Shell Execution
Static analyzer flagged backtick characters in markdown ASCII attack tree diagrams as Ruby/shell backtick execution. These are visualization characters in markdown tables showing tree structure (e.g., '[Root Goal]', '[Sub-goal]'). No actual shell commands exist in this skill.
Problèmes à risque faible (1)
resources/implementation-playbook.md:669-671
Reference URLs to Security Resources
Hardcoded URLs at end of implementation-playbook.md point to legitimate security resources: Bruce Schneier attack trees, MITRE ATT&CK, and OWASP Attack Surface Analysis. These are standard defensive security references, not suspicious network destinations.
Audité par: claude

Score de qualité

38
Architecture
100
Maintenabilité
87
Contenu
50
Communauté
98
Sécurité
100
Conformité aux spécifications

Ce que vous pouvez construire

Sicherheitsarchitekt plant Verteidigungsmaßnahmen

Erstellen Sie Angriffsbäume, um alle möglichen Angriffspfade gegen ein neues Systemdesign zu visualisieren, und identifizieren Sie, welche Verteidigungskontrollen die höchste Auswirkung haben.

Red Team bewertet Abdeckung

Verwenden Sie Angriffsbäume, um alle potenziellen Angriffsvektoren zu kartieren und sicherzustellen, dass Red-Team-Übungen die kritischsten Pfade abdecken.

C-Level kommuniziert Risiken

Präsentieren Sie visuelle Angriffsbäume an das Management, um Geschäftsrisiken zu demonstrieren und Sicherheitsinvestitionen basierend auf der Angriffspfad-Analyse zu rechtfertigen.

Essayez ces prompts

Basis-Angriffsbaum-Anfrage 
Erstellen Sie einen Angriffsbaum für [System/Asset]. Das Root-Ziel ist [Angreifer-Ziel]. Identifizieren Sie die Hauptangriffspfade und annotieren Sie jeden Blattknoten mit Schwierigkeit, Kosten und Erkennungsrisiko.
Detaillierter Baum mit Mitigationsmaßnahmen 
Erstellen Sie einen umfassenden Angriffsbaum für [System]. Enthält: (1) Root-Ziel, (2) AND/OR-Zerlegung, (3) Blattknoten mit Attributen, (4) Mitigationsmaßnahmen für jeden Angriffsvektor. Priorisieren Sie die Pfade nach Geschäftsauswirkung.
Mermaid-Diagramm-Export 
Generieren Sie einen Angriffsbaum für [Szenario] und exportieren Sie ihn als Mermaid-Flowchart-Diagramm. Verwenden Sie verschiedene Farben für Schwierigkeitsgrade. Fügen Sie Angriffsattribute in die Knotenbeschriftungen ein.
Angriffspfad-Analyse 
Erstellen Sie einen Angriffsbaum für [System] mit [Anzahl] verschiedenen Angriffspfaden. Analysieren Sie dann: (1) einfachster Pfad, (2) heimlichster Pfad, (3) kritische Knoten, die in den meisten Pfaden erscheinen, (4) empfohlene Mitigationsmaßnahmen geordnet nach Abdeckungsauswirkung.

Bonnes pratiques

  • Beginnen Sie mit einem klaren Angreiferziel als Root-Knoten - definieren Sie, wogegen Sie schützen
  • Verwenden Sie AND-Knoten für mehrstufige Angriffe, die alle Bedingungen erfordern, OR-Knoten für alternative Pfade
  • Validieren Sie Bäume mit Red-Team-Experten, um Vollständigkeit und Genauigkeit sicherzustellen
  • Aktualisieren Sie Angriffsbäume bei erheblichen Systemänderungen oder neuen Bedrohungen

Éviter

  • Bäume durch Ignorieren mehrstufiger Abhängigkeiten zu stark vereinfachen - echte Angriffe erfordern oft das Verketten mehrerer Schritte
  • Blattknoten nicht mit realistischen Kosten-, Skill- und Erkennungsattributen annotieren
  • Statische Bäume erstellen und sie nie aktualisieren, wenn sich die Bedrohungslandschaft weiterentwickl
  • Mitigations-Mapping überspringen - Angriffsbäume dienen der Verteidigungsplanung, nicht nur der Visualisierung

Foire aux questions

Was ist ein Angriffsbaum?
Ein Angriffsbaum ist ein hierarchisches Diagramm, das zeigt, wie ein Angreifer ein Ziel erreichen könnte. Es verwendet OR-Knoten für alternative Pfade und AND-Knoten für mehrstufige Anforderungen. Jedes Blatt repräsentiert einen atomaren Angriffsschritt mit Attributen wie Kosten und Schwierigkeit.
Kann dieses Skill Schwachstellen in meinem System finden?
Nein. Dieses Skill erstellt theoretische Modelle von Angriffspfaden. Es scannt oder testet Ihre tatsächlichen Systeme nicht auf Schwachstellen. Verwenden Sie dafür Penetration-Testing-Tools.
Welche Tools kann ich Angriffsbäume exportieren?
Das Skill enthält Exporter für Mermaid-Diagramme und PlantUML-Format. Sie können auch die zugrunde liegenden Python-Datenstrukturen als JSON für die Integration mit anderen Tools exportieren.
Wie bestimme ich Schwierigkeit und Kosten für Angriffsvektoren?
Verwenden Sie interne Sicherheitsexpertise, Red-Team-Assessments oder Branchenframeworks wie MITRE ATT&CK. Berücksichtigen Sie benötigte Ressourcen, Skill-Level, Zeit und Erkennungswahrscheinlichkeit bei der Wertezuweisung.
Wann sollte ich meine Angriffsbäume aktualisieren?
Aktualisieren Sie Angriffsbäume, wenn Sie erhebliche Systemänderungen vornehmen, neue Technologien einsetzen, neue Bedrohungen entdecken oder nach Sicherheitsvorfällen. Regelmäßige Überprüfungszyklen (vierteljährlich) werden empfohlen.
Ist die Verwendung von Angriffsbäumen nur für defensive Zwecke?
Ja. Angriffsbäume sind eine defensive Sicherheitsmethodik, die verwendet wird, um Bedrohungen zu verstehen und Mitigationsmaßnahmen zu planen. Dieses Skill ist ausschließlich für Bedrohungsmodellierung und Verteidigungsplanung konzipiert.

Détails du développeur

Auteur

sickn33

Licence

MIT

Dépôt

https://github.com/sickn33/antigravity-awesome-skills/tree/main/skills/attack-tree-construction

Réf

main

Structure de fichiers

📁 resources/

📄 implementation-playbook.md

📄 SKILL.md