threat-modeling-expert
脅威モデリング手法、セキュリティアーキテクチャレビュー、リスク評価を専門とするスキルです。STRIDE、PASTA、攻撃ツリー、セキュリティ要件の抽出をマスターしており、セキュリティアーキテクチャのレビューや脅威の特定、セキュアバイデザインなシステム構築の際に積極的に活用してください。
description の原文を見る
Expert in threat modeling methodologies, security architecture review, and risk assessment. Masters STRIDE, PASTA, attack trees, and security requirement extraction. Use PROACTIVELY for security architecture reviews, threat identification, or building secure-by-design systems.
SKILL.md 本文
脅威モデリング専門家
脅威モデリングの方法論、セキュリティアーキテクチャレビュー、およびリスク評価の専門家。STRIDE、PASTA、攻撃ツリー、およびセキュリティ要件抽出をマスター。セキュリティアーキテクチャレビュー、脅威識別、またはセキュアバイデザインシステムの構築に積極的に使用してください。
機能
- STRIDE脅威分析
- 攻撃ツリー構築
- データフローダイアグラム分析
- セキュリティ要件抽出
- リスク優先順位付けとスコアリング
- 緩和戦略設計
- セキュリティ制御マッピング
このスキルを使用する場合
- 新しいシステムまたは機能を設計する場合
- セキュリティギャップについてアーキテクチャをレビューする場合
- セキュリティ監査に備える場合
- 攻撃ベクトルを識別する場合
- セキュリティ投資を優先順位付けする場合
- セキュリティドキュメントを作成する場合
- チームのセキュリティ思考トレーニングを行う場合
このスキルを使用しない場合
- セキュリティレビューのスコープまたは認可がない場合
- 法的またはコンプライアンス認証が必要な場合
- 人的レビューなしの自動スキャンのみが必要な場合
手順
- システムスコープと信頼境界を定義する
- データフローダイアグラムを作成する
- アセットとエントリーポイントを識別する
- 各コンポーネントにSTRIDEを適用する
- クリティカルパスに対する攻撃ツリーを構築する
- 脅威をスコアリングし優先順位付けする
- 緩和策を設計する
- 残存リスクをドキュメント化する
セーフティ
- アクセス制御なしに脅威モデルに機密情報を保存することを避けてください。
- アーキテクチャの変更後、脅威モデルを最新に保ってください。
ベストプラクティス
- 脅威モデリングセッションに開発者を巻き込む
- コンポーネントだけでなくデータフローに焦点を当てる
- インサイダー脅威を考慮する
- アーキテクチャの変更に伴って脅威モデルを更新する
- 脅威をセキュリティ要件にリンクさせる
- 緩和策の実装を追跡する
- 設計時だけでなく定期的にレビューする
制限事項
- このスキルは、タスクが上記の説明スコープと明確に一致する場合にのみ使用してください。
- 出力を環境固有の検証、テスト、または専門家レビューの代わりと見なさないでください。
- 必要な入力、許可、セーフティ境界、または成功基準が不足している場合は、停止して説明を求めてください。
ライセンス: MIT(寛容ライセンスのため全文を引用しています) · 原本リポジトリ
詳細情報
- 作者
- sickn33
- ライセンス
- MIT
- 最終更新
- 不明
Source: https://github.com/sickn33/antigravity-awesome-skills / ライセンス: MIT
関連スキル
secure-code-guardian
認証・認可の実装、ユーザー入力の保護、OWASP Top 10の脆弱性対策が必要な場合に使用します。bcrypt/argon2によるパスワードハッシング、パラメータ化ステートメントによるSQLインジェクション対策、CORS/CSPヘッダーの設定、Zodによる入力検証、JWTトークンの構築などのカスタムセキュリティ実装に対応します。認証、認可、入力検証、暗号化、OWASP Top 10対策、セッション管理、セキュリティ強化全般で活用できます。ただし、構築済みのOAuth/SSO統合や単独のセキュリティ監査が必要な場合は、より特化したスキルの検討をお勧めします。
claude-authenticity
APIエンドポイントが本物のClaudeによって支えられているか（ラッパーやプロキシ、偽装ではないか）を、claude-verifyプロジェクトを模した9つの重み付きルールベースチェックで検証できます。また、Claudeの正体を上書きしているプロバイダーから注入されたシステムプロンプトも抽出します。完全に自己完結しており、httpx以外の追加パッケージは不要です。Claude APIキーまたはエンドポイントを検証したい場合、サードパーティのClaudeサービスが本物か確認したい場合、APIプロバイダーのClaude正当性を監査したい場合、複数モデルを並行してテストしたい場合、またはプロバイダーが注入したシステムプロンプトを特定したい場合に使用できます。
anth-security-basics
Anthropic Claude APIのセキュリティベストプラクティスを適用し、キー管理、入力値の検証、プロンプトインジェクション対策を実施します。APIキーの保護、Claudeに送信する前のユーザー入力検証、コンテンツセーフティガードレールの実装が必要な場合に活用できます。「anthropic security」「claude api key security」「secure anthropic」「prompt injection defense」といったフレーズでトリガーされます。
x-ray
x-ray.mdプレ監査レポートを生成します。概要、強化された脅威モデル（プロトコルタイプのプロファイリング、Gitの重み付け攻撃面分析、時間軸リスク分析、コンポーザビリティ依存関係マッピング）、不変条件、統合、ドキュメント品質、テスト分析、開発者・Gitの履歴をカバーしています。「x-ray」「audit readiness」「readiness report」「pre-audit report」「prep this protocol」「protocol prep」「summarize this protocol」のキーワードで実行されます。
semgrep
Semgrepスタティック分析スキャンを実行し、カスタム検出ルールを作成します。Semgrepでのコードスキャン、セキュリティ脆弱性の検出、カスタムYAMLルールの作成、または特定のバグパターンの検出が必要な場合に使用します。重要：ユーザーが「バグをスキャンしたい」「コード品質を確認したい」「脆弱性を見つけたい」「スタティック分析」「セキュリティlint」「コード監査」または「コーディング標準を適用したい」と尋ねた場合も、Semgrepという名称を明記していなくても、このスキルを使用してください。Semgrepは30以上の言語に対応したパターンベースのコードスキャンに最適なツールです。
ghost-bits-cast-attack
Java「ゴーストビッツ」/キャストアタック プレイブック（Black Hat Asia 2026）。16ビット文字が8ビットバイトに暗黙的に縮小されるJavaサービスへの攻撃時に使用します。WAF/IDSを回避して、SQLインジェクション、デシリアライゼーション型RCE、ファイルアップロード（Webシェル）、パストトラバーサル、CRLF インジェクション、リクエストスマグリング、SMTPインジェクションを実行できます。Tomcat、Spring、Jetty、Undertow、Vert.x、Jackson、Fastjson、Apache Commons BCEL、Apache HttpClient、Angus Mail、JDK HttpServer、Lettuce、Jodd、XMLWriterに影響し、WAFバイパスにより多くの「パッチ済み」CVEを再度有効化します。