Навыки stride-analysis-patterns
📦

stride-analysis-patterns

Безопасно 🌐 Доступ к сети⚙️ Внешние команды

Выявление угроз безопасности с помощью STRIDE

Этот навык помогает выявлять и документировать угрозы безопасности в системах с использованием методологии моделирования угроз STRIDE. Он предоставляет шаблоны, паттерны кода и аналитические фреймворки для систематического выявления угроз и планирования их устранения.

Поддерживает: Claude Codex Code(CC)
📊 69 Адекватно
1

Скачать ZIP навыка

2

Загрузить в Claude

Перейдите в Settings → Capabilities → Skills → Upload skill

3

Включите и начните использовать

Протестировать

Использование «stride-analysis-patterns». Проанализируйте веб-API, который принимает пользовательский ввод, обрабатывает его в базе данных и возвращает результаты

Ожидаемый результат:

  • **Угрозы подмены (Spoofing)**: Перехват сессии, подделка токенов, атака с использованием украденных учётных данных
  • **Угрозы изменения (Tampering)**: SQL-инъекция, манипуляция параметрами, обход проверки входных данных
  • **Угрозы отрицания (Repudiation)**: Отрицание транзакций, отсутствие журналов аудита
  • **Угрозы раскрытия информации**: Утечка данных через небезопасную передачу, раскрытие информации в сообщениях об ошибках
  • **Угрозы отказа в обслуживании (DoS)**: Истощение ресурсов, истощение пула подключений к базе данных
  • **Угрозы повышения привилегий (EoP)**: Уязвимости IDOR, обход проверки ролевого доступа

Использование «stride-analysis-patterns». Создайте шаблон документа модели угроз для архитектуры микросервисов

Ожидаемый результат:

  • # Модель угроз: Архитектура микросервисов
  • ## Границы доверия: Внешняя сеть → DMZ, DMZ → Внутренняя сеть, Сервис → Сервис
  • ## Ключевые активы: Учётные данные пользователя (Высокий), ПДн (Высокий), Данные сессии (Средний)
  • ## Сводка анализа STRIDE: 18 угроз выявлено в 6 категориях

Аудит безопасности

Безопасно
v5 • 1/21/2026

All 54 static findings are false positives. This is a legitimate defensive security skill for threat modeling. Static patterns detected are: security documentation terminology (not ransomware), markdown code blocks (not shell execution), risk-scoring enums (not weak crypto), and documentation links to Microsoft/OWASP (not hardcoded malicious URLs). No actual security concerns identified.

2
Просканировано файлов
1,119
Проанализировано строк
2
находки
5
Всего аудитов

Факторы риска

🌐 Доступ к сети (4)
skill-report.json:6 SKILL.md:654 SKILL.md:655 SKILL.md:656
⚙️ Внешние команды (13)
SKILL.md:23-33 SKILL.md:33-50 SKILL.md:50-59 SKILL.md:59-64 SKILL.md:64-165 SKILL.md:165-172 SKILL.md:172-199 SKILL.md:199-203 SKILL.md:203-423 SKILL.md:423-427 SKILL.md:427-545 SKILL.md:545-549 SKILL.md:549-634
Проверено: claude Посмотреть историю аудитов →

Оценка качества

38
Архитектура
100
Сопровождаемость
85
Контент
21
Сообщество
100
Безопасность
87
Соответствие спецификации

Что вы можете построить

Моделирование угроз для нового приложения

Инженеры по безопасности используют этот навык для документирования угроз при проектировании новых приложений. Навык генерирует опросники, выявляет границы доверия и создает структурированные модели угроз для проверки архитектуры.

Создание документации по безопасности

Разработчики используют шаблоны для создания документации по безопасности для аудитов соответствия. Навык предоставляет markdown-шаблоны с таблицами угроз, мерами противодействия и фреймворками приоритизации рисков.

Обучение команды вопросам безопасности

Руководители команд используют этот навык для обучения разработчиков выявлению угроз. Структурированные категории STRIDE предоставляют запоминающийся фреймворк для мышления о безопасности во время проверок проекта.

Попробуйте эти промпты

Базовый анализ STRIDE 
Используйте методологию STRIDE для анализа архитектуры нашей [системы/компонента]. Выявите потенциальные угрозы в каждой категории: Spoofing (Подмена), Tampering (Изменение), Repudiation (Отрицание), Information Disclosure (Раскрытие информации), Denial of Service (Отказ в обслуживании) и Elevation of Privilege (Повышение привилегий). Для каждой угрозы укажите описание, потенциальное воздействие и рекомендуемые меры противодействия.
Анализ потоков данных 
Проанализируйте потоки данных в нашей системе на предмет пересечений границ доверия. Выявите незашифрованные потоки данных между зонами с разными уровнями доверия. Для каждого пересечения перечислите применимые угрозы STRIDE и предложите средства контроля безопасности.
Интерактивная матрица угроз 
Создайте матрицу угроз для следующих взаимодействий системы: [список взаимодействий]. Для каждого взаимодействия между [исходным компонентом] и [целевым компонентом] определите применимые угрозы STRIDE, их описания и контекст.
Отчёт о приоритизации рисков 
Создайте отчёт о приоритизации рисков на основе следующих угроз: [список угроз с оценками воздействия/вероятности]. Рассчитайте оценки рисков, распределите по степени серьёзности и рекомендуйте порядок устранения на основе матрицы рисков.

Лучшие практики

  • Систематически охватывайте все шесть категорий STRIDE, чтобы не пропустить типы угроз
  • Привлекайте заинтересованных лиц из команд безопасности, разработки и эксплуатации для полного охвата
  • Обновляйте модели угроз при значительных изменениях архитектуры системы
  • Приоритизируйте меры противодействия на основе оценок рисков, а не treating all threats equally

Избегать

  • Пропуск категорий STRIDE, потому что некоторые кажутся менее релевантными для вашей системы
  • Предположение, что компонент защищён, без анализа каждой категории угроз
  • Фокусировка только на угрозах с высокой вероятностью и игнорирование высоковоздейственных, низковероятностных рисков
  • Выявление угроз без документирования или отслеживания планов их устранения

Часто задаваемые вопросы

Что такое STRIDE и почему я должен его использовать?
STRIDE — это методология моделирования угроз, разработанная Microsoft. Она предоставляет систематический способ выявления угроз безопасности путём их категоризации по типам: Spoofing (Подмена), Tampering (Изменение), Repudiation (Отрицание), Information Disclosure (Раскрытие информации), Denial of Service (Отказ в обслуживании) и Elevation of Privilege (Повышение привилегий). Это помогает обеспечить полное покрытие безопасности на этапе проектирования.
Чем этот навык отличается от автоматических сканеров безопасности?
Этот навык помогает с моделированием и документированием угроз, но не с автоматическим сканированием. Он направляет вас через процесс выявления угроз концептуально, а не сканирует работающий код на наличие уязвимостей. Используйте оба подхода для комплексного покрытия безопасности.
Могу ли я использовать этот навык для документации соответствия?
Да. Навык предоставляет структурированные шаблоны, подходящие для документации соответствия, включая требования SOC 2, PCI-DSS и ISO 27001. Модели угроз и отслеживание мер противодействия поддерживают подготовку к аудиту.
Какие результаты создаёт этот навык?
Навык создаёт опросники угроз, markdown-шаблоны документации, отчёты анализа потоков данных, матрицы рисков с приоритизацией и контрольные списки мер противодействия. Результаты читабельны и подходят для систем документации.
Выполняет ли этот навык какой-либо код в моей системе?
Нет. Навык предоставляет руководство, шаблоны и аналитические фреймворки. Он не выполняет код, не сканирует системы и не вносит изменения в вашу среду. Всё моделирование угроз концептуально и ориентировано на документацию.
Насколько детальны создаваемые модели угроз?
Уровень детализации зависит от вашего ввода. Навык может создавать высокоуровневые сводки угроз или детальные документы с конкретными описаниями угроз, оценками воздействия, оценками вероятности, оценками рисков и рекомендациями по устранению.

Сведения для разработчиков

Автор

wshobson

Лицензия

MIT

Репозиторий

https://github.com/wshobson/agents/tree/main/plugins/security-scanning/skills/stride-analysis-patterns

Ссылка

main

Структура файлов

📄 SKILL.md