Навыки stride-analysis-patterns
🛡️

stride-analysis-patterns

Безопасно

Применение STRIDE-моделирования угроз к вашим системам

Также доступно от: wshobson

Командам безопасности сложно систематически выявлять угрозы в сложных системах. Этот навык применяет проверенную методологию STRIDE для обнаружения угроз подделки, изменения данных, отказа от авторства, раскрытия информации, отказа в обслуживании и повышения привилегий.

Поддерживает: Claude Codex Code(CC)
🥉 72 Бронза
1

Скачать ZIP навыка

2

Загрузить в Claude

Перейдите в Settings → Capabilities → Skills → Upload skill

3

Включите и начните использовать

Протестировать

Использование «stride-analysis-patterns». Проанализируйте конечную точку входа пользователя на наличие угроз STRIDE

Ожидаемый результат:

  • Подделка: Атаки credential stuffing, захват сессии, подделка токенов
  • Изменение: Манипуляция параметрами, попытки перебора, SQL-инъекция
  • Отказ от авторства: Пользователи отрицают попытки входа, отсутствие журналов аудита
  • Раскрытие информации: Сообщения об ошибках раскрывают действительные имена пользователей, утечка учётных данных
  • Отказ в обслуживании: Злоупотребление блокировкой аккаунта, исчерпание ресурсов
  • Повышение привилегий: IDOR для доступа к другим аккаунтам пользователей, манипуляция ролями

Использование «stride-analysis-patterns». Создайте резюме модели угроз для API электронной коммерции

Ожидаемый результат:

  • Всего выявлено угроз: 24
  • Критические: 3 (SQL-инъекция, раскрытие платёжных данных, повышение привилегий)
  • Высокие: 8 (захват сессии, IDOR, CSRF, XSS и т.д.)
  • Средние: 9 (пробелы в журналировании, отсутствие rate limiting и т.д.)
  • Низкие: 4 (незначительные риски раскрытия информации)
  • Приоритет: Реализовать проверку ввода, включить TLS 1.3, добавить комплексное журналирование аудита

Аудит безопасности

Безопасно
v1 • 2/25/2026

All static analysis findings are false positives. The detected 'backtick execution' patterns are Markdown code fence delimiters (```), not Ruby shell commands. The 'hardcoded URLs' are educational reference links. The 'weak crypto' and 'ransomware' patterns are security education content, not actual implementations. This skill contains only documentation and Python code templates for learning threat modeling.

2
Просканировано файлов
692
Проанализировано строк
0
находки
1
Всего аудитов
Проблем безопасности не найдено
Проверено: claude

Оценка качества

38
Архитектура
100
Сопровождаемость
87
Контент
31
Сообщество
100
Безопасность
100
Соответствие спецификации

Что вы можете построить

Обзор архитектуры безопасности

Систематический анализ новых designs систем перед реализацией для раннего выявления и смягчения угроз на этапе разработки.

Документация соответствия требованиям

Генерация комплексной документации моделей угроз, необходимой для аудитов безопасности, сертификаций и соответствия нормативным требованиям.

Обучение разработчиков безопасности

Обучение команд разработчиков выявлению угроз с использованием структурированных категорий STRIDE и реальных сценариев атак.

Попробуйте эти промпты

Базовый анализ STRIDE 
Проанализируйте этот компонент системы, используя методологию STRIDE: [опишите компонент]. Для каждой категории (Подделка, Изменение, Отказ от авторства, Раскрытие информации, Отказ в обслуживании, Повышение привилегий) выявите не менее двух потенциальных угроз и предложите одну меру смягчения для каждой.
Анализ диаграммы потоков данных 
У меня есть система с этими компонентами и потоками данных: [опишите DFD]. Выявите все пересечения границ доверия и проанализируйте, какие угрозы STRIDE применимы к каждой границе. Приоритизируйте угрозы по оценке риска (влияние × вероятность).
Генерация документа модели угроз 
Создайте полный документ модели угроз для [название системы]. Включите: обзор системы, описание диаграммы потоков данных, инвентарь активов с уровнями конфиденциальности, полный анализ STRIDE с таблицами угроз, матрицу рисков и приоритизированные рекомендации с немедленными, краткосрочными и долгосрочными действиями.
Анкета обзора безопасности 
Сгенерируйте анкету безопасности на основе STRIDE для проверки [тип системы, например, 'REST API с аутентификацией пользователей']. Для каждой категории STRIDE предоставьте 4-5 конкретных вопросов, которые раскроют потенциальные уязвимости. Включите место для ответов и заметок.

Лучшие практики

  • Привлекайте несколько заинтересованных сторон, включая команды безопасности, разработки и операций для комплексного покрытия угроз
  • Регулярно обновляйте модели угроз по мере эволюции архитектуры системы и появления новых угроз
  • Приоритизируйте угрозы по оценке риска (влияние, умноженное на вероятность) и сосредоточьте исправление на критических элементах в первую очередь

Избегать

  • Пропуск категорий STRIDE приводит к упущенным угрозам - всегда систематически анализируйте все шесть категорий
  • Создание моделей угроз изолированно без командного сотрудничества приводит к слепым зонам и неполному анализу
  • Рассмотрение моделирования угроз как однократного действия вместо поддержания его как живого документа

Часто задаваемые вопросы

Что такое методология STRIDE?
STRIDE - это модель категоризации угроз, разработанная Microsoft. Она расшифровывается как Подделка (Spoofing), Изменение (Tampering), Отказ от авторства (Repudiation), Раскрытие информации (Information Disclosure), Отказ в обслуживании (Denial of Service) и Повышение привилегий (Elevation of Privilege). Каждая категория помогает выявлять определённые типы угроз безопасности систематическим способом.
Когда следует выполнять моделирование угроз?
Выполняйте моделирование угроз на этапе design системы перед реализацией, при значительных изменениях архитектуры, перед основными релизами и периодически для существующих систем. Раннее моделирование угроз наиболее выгодно.
Нужен ли мне опыт безопасности для использования этого навыка?
Базовые знания безопасности помогут, но структурированный подход STRIDE проведёт вас через выявление угроз. Шаблоны и анкеты делают его доступным для разработчиков с ограниченным опытом безопасности.
Как приоритизировать выявленные угрозы?
Используйте матрицу рисков, умножая влияние (Низкое=1 на Критическое=4) на вероятность (Низкая=1 на Высокая=4). Соср��доточьтесь в первую очередь на критических (12-16) и высоких (6-9) оценках риска. Учитывайте бизнес-контекст и существующие элементы управления.
Что должна включать модель угроз?
Полная модель угроз включает: описание системы, диаграммы потоков данных, границы доверия, инвентарь активов, таблицы анализа STRIDE, оценки рисков и приоритизированные рекомендации по смягчению с сроками.
Как часто следует обновлять модели угроз?
Обновляйте модели угроз при любых изменениях архитектуры системы, добавлении новых функций, после инцидентов безопасности или минимум раз в год. Рассматривайте модели угроз как живые документы, которые развиваются вместе с вашей системой.

Сведения для разработчиков

Автор

sickn33

Лицензия

MIT

Репозиторий

https://github.com/sickn33/antigravity-awesome-skills/tree/main/skills/stride-analysis-patterns

Ссылка

main

Структура файлов

📁 resources/

📄 implementation-playbook.md

📄 SKILL.md