下载技能 ZIP
在 Claude 中上传
前往 设置 → 功能 → 技能 → 上传技能
开启并开始使用
测试它
正在使用“attack-tree-construction”。 构建窃取 Web 应用程序数据库的攻击树。包括每个攻击向量的成本和检测风险。
预期结果:
具有根节点'Steal Database'的层级攻击树，针对不同攻击类别（SQL 注入、备份窃取、内部访问）的 OR 节点，用于多步骤攻击的 AND 节点，以及标注了成本（$、$$、$$$）和检测风险（低/中/高）的叶节点。包括每个分支的缓解建议。
正在使用“attack-tree-construction”。 创建通过登录页面进行账户接管的攻击树。导出为 Mermaid 图表。
预期结果:
Mermaid 流程图显示：根节点'Account Takeover' → 凭据窃取、身份验证绕过、会话劫持的 OR 分支 → 带有难度颜色编码的叶节点（绿色=简单，红色=专家级）。每个叶节点显示估计成本和检测可能性。
正在使用“attack-tree-construction”。 分析云基础设施的攻击路径。找到最隐蔽的路径并确定缓解措施的优先级。
预期结果:
分析显示：(1) 具有最低检测风险的最隐蔽路径，(2) 在大多数路径中出现的关键节点，(3) 按覆盖百分比影响排序的缓解建议，(4) 仍然未缓解的开放攻击路径。
安全审计
安全This is a defensive security skill for building attack trees - a standard threat modeling methodology. All 60 static findings are FALSE POSITIVES: backtick diagrams misidentified as shell execution, OR/AND logical operators misidentified as weak crypto, and threat modeling examples misidentified as malicious keywords. The skill contains only Python code templates for visualizing attack paths and mitigation planning.
中风险问题 (1)
低风险问题 (1)
质量评分
你能构建什么
安全架构师规划防御
创建攻击树以可视化新系统设计中的所有可能攻击路径，识别哪些防御控制具有最高影响。
红队评估覆盖范围
使用攻击树绘制所有潜在攻击向量，确保红队演练涵盖最关键的路径。
C 层级沟通风险
向高管展示可视化攻击树，以演示业务风险并根据攻击路径分析证明安全投资的合理性。
试试这些提示
为 [system/asset] 构建攻击树。根目标是 [attackers objective]。识别主要攻击路径并为每个叶节点标注难度、成本和检测风险。
为 [system] 构建全面的攻击树。包括：(1) 根目标，(2) AND/OR 分解，(3) 带有属性的叶节点，(4) 每个攻击向量的缓解措施。按业务影响对路径进行优先级排序。
为 [scenario] 生成攻击树并将其导出为 Mermaid 流程图。使用不同颜色表示难度级别。在节点标签中包含攻击属性。
为 [system] 构建具有 [number] 个不同攻击路径的攻击树。然后分析：(1) 最简单的路径，(2) 最隐蔽的路径，(3) 在大多数路径中出现的关键节点，(4) 按覆盖影响排序的推荐缓解措施。
最佳实践
- 以清晰的攻击者目标作为根节点开始——明确你要防范什么
- 对需要所有条件的多步骤攻击使用 AND 节点，对替代路径使用 OR 节点
- 与红队专家验证树以确保完整性和准确性
- 在系统发生重大变化或出现新威胁时更新攻击树
避免
- 通过忽略多步骤依赖关系过度简化树——实际攻击通常需要链接多个步骤
- 未能为叶节点标注现实的技能、成本和检测属性
- 创建静态树且从不随着威胁形势演变而更新它们
- 跳过缓解映射——攻击树用于防御规划，而不仅仅是可视化