Atelier de modélisation des menaces

## Vue d'ensemble
Threat Modeling Workbench offre aux équipes de sécurité et aux développeurs un workflow structuré de bout en bout — de la cartographie des objectifs de l'attaquant au déploiement de contrôles testés. Il combine la construction d'arbres d'attaque, l'extraction d'exigences de sécurité et la cartographie des atténuations des menaces en un plugin cohérent, afin que rien ne passe à travers les mailles du filet entre la découverte et la remédiation.

## Démarrage rapide
1. **Cartographier les chemins d'attaque** — Utilisez `attack-tree-construction` pour visualiser comment un attaquant pourrait atteindre une cible. Décrivez le système et l'objectif de l'attaquant ; la compétence le décompose en un arbre structuré de sous-objectifs et de conditions.
2. **Extraire les exigences** — Alimentez la sortie de l'arbre dans `security-requirement-extraction`. Elle traduit chaque nœud de menace en exigences de sécurité concrètes et testables, ainsi qu'en user stories que votre équipe d'ingénierie peut traiter immédiatement.
3. **Prioriser les contrôles** — Exécutez `threat-mitigation-mapping` sur la liste des exigences. La compétence connecte chaque menace à un contrôle approprié, évalue la priorité de remédiation et produit un plan que votre équipe peut suivre.

## Commandes clés
- **attack-tree-construction** — Construit un arbre de menaces visuel pour un objectif d'attaquant ou une limite système donnée ; idéal pour les revues d'architecture et la communication avec les parties prenantes.
- **security-requirement-extraction** — Transforme les descriptions brutes de menaces en exigences de sécurité structurées, critères d'acceptation et cas de test.
- **threat-mitigation-mapping** — Associe les menaces aux contrôles NIST/CIS ou aux atténuations personnalisées ; produit un backlog de remédiation priorisé prêt pour la planification de sprint.

## Conseils
- Exécutez les trois compétences en séquence pour une revue de menaces complète : arbre → exigences → atténuations.- Associez-les à un plugin de conformité (par exemple, SOC 2 ou ISO 27001) pour référencer automatiquement les exigences extraites par rapport aux cadres de contrôle.
- Utilisez `attack-tree-construction` tôt dans la phase de conception pour détecter les risques au niveau de l'architecture avant qu'ils n'atteignent la production.