用途
该技能用于对系统设计、API 规范或代码库执行结构化的 STRIDE 威胁建模。当用户讨论架构、分享系统设计、评审 API、进行上线前安全审查、合规驱动审查或安全事件复盘时，该技能会被自动调用。若通过参数提供了目标，审查将聚焦于该目标。
主要能力
技能围绕 STRIDE 方法论展开，覆盖以下分析环节：
-
识别资产与入口点：枚举攻击者可能瞄准的资产（用户凭据与会话令牌、PII、财务或支付数据、知识产权与专有业务逻辑、加密密钥与机密、审计日志与监控数据、基础设施控制平面如 CI/CD 流水线、IaC 模板、容器镜像仓库）以及攻击可能发起的入口点（公开 API 端点、Web 前端、移动应用接口、管理控制台与仪表盘、消息队列消费者、文件上传端点、Webhook 接收器、CI/CD 流水线触发器、DNS 与网络边缘）。
-
定义威胁行为者画像：识别与系统相关的威胁行为者，包括国家背景 APT、有组织网络犯罪、恶意内部人员、黑客活动分子、脚本小子和供应链攻击者。为每个相关行为者记录其目标动机、最可能的攻击路径以及主要影响范围。技能提供了行为者能力、动机、持久性、主要 STRIDE 目标和示例 ATT&CK TTP 的对照表。
-
绘制数据流与信任边界：构建数据流图（DFD），捕获流程、数据存储、数据流、外部实体和信任边界。技能提供了 DFD 模板，并附有隐式信任边界发现清单，涵盖服务间边界、容器/Pod 边界、网络分段边界、云账户/订阅边界、CI/CD 流水线边界以及第三方 SDK/库边界。每个跨越信任边界的数据流需记录源与目标组件、协议与传输安全、认证机制和数据分类。DFD 注释要求包括协议与版本、认证机制、数据分类、静态加密、传输加密、密钥管理和失败模式。
-
按元素应用 STRIDE：对 DFD 中每个组件和数据流，按 STRIDE 类别系统提问：
- S — 欺骗（认证威胁）：外部用户能否无有效凭据认证、服务能否互相冒充、令牌能否重放、API 密钥是否轮换与限定范围、特权账户是否强制 MFA。
- T — 篡改（完整性威胁）：请求参数能否在传输中被修改、数据库记录能否被未授权用户更改、CI/CD 流水线产物能否被篡改、配置文件是否受保护、输入是否在处理前验证与净化。
- R — 抵赖（审计与问责威胁）：安全相关操作是否带不可变时间戳记录、日志条目能否被记录对象修改或删除、日志是否集中且防篡改、交易是否包含不可抵赖控制、日志细节是否足以重建事件序列。
- I — 信息泄露（机密性威胁）：敏感数据是否静态加密、传输是否加密、错误消息或堆栈跟踪是否泄露内部细节、机密是否存储在环境变量或专用保险库、数据存储访问是否受最小权限 IAM 策略限制。
- D — 拒绝服务（可用性威胁）：API 端点是否限流、是否有应用层 DoS 防护、资源配额是否强制执行、系统是否对依赖故障有弹性、是否有自动扩缩容策略和 DDoS 缓解服务。
- E — 权限提升（授权威胁）：授权检查是否在每一层强制执行、普通用户能否访问管理功能、容器化环境中的权限边界是否强制执行、能否利用反序列化或注入实现代码执行、默认凭据和不必要服务是否移除。
-
构建组件-威胁矩阵：将 STRIDE 逐元素分析综合为热力图式矩阵。对每个组件按 STRIDE 类别评定威胁等级（H=高、M=中、L=低、N=无），并推导总体风险。总体风险推导规则：任意 H+H 组合为 Critical；2 个以上 H 为 High；1 个 H 或 2 个以上 M 为 Medium；其余为 Low。
-
将威胁行为者映射到组件：结合行为者画像与组件-威胁矩阵，生成三维映射，显示哪些行为者通过哪些威胁瞄准哪些组件。映射模板包含行为者、使用的能力、目标组件、STRIDE 威胁、可能性修正因子和最终风险。可能性修正规则：若行为者具有特殊访问权限或高超技术能力使可能性超出基础评级，则 +1，否则 +0。被 3 种以上行为者类型瞄准的组件会被标记。
使用方式
该技能在满足以下任一条件时被调用：新服务或微服务设计、架构评审、含基础设施影响的产品需求文档、API 设计、上线前安全审查、合规驱动审查（SOC 2、PCI DSS、HIPAA、FedRAMP）以及安全事件复盘。若通过参数提供目标，审查将聚焦于该目标。
开始威胁建模前，技能会收集上下文并将每项标记为已获取或缺失，对缺失项以假设方式继续推进。所需上下文包括：系统描述、组件清单、数据流描述、信任边界、认证与授权机制、数据分类、威胁行为者画像、合规与监管要求、现有安全控制、部署环境。
适用场景
- 新服务或微服务设计：在实现开始前对新组件进行威胁分析。
- 架构评审：现有系统进行重新设计、迁移或重大重构（如单体到微服务、本地到云）。
- 含基础设施影响的 PRD：产品需求文档描述涉及新数据存储、外部集成、认证变更或网络拓扑修改的功能。
- API 设计：定义新的或修改的 API 端点，尤其是接受用户输入、处理认证令牌或暴露敏感数据的端点。
- 上线前安全审查：系统接近生产部署，需要在发布前进行结构化威胁评估。
- 合规驱动审查：监管要求（SOC 2、PCI DSS、HIPAA、FedRAMP）强制要求文档化威胁分析。
- 事件复盘：安全事件发生后，团队需要重新评估威胁态势以防止复发。
限制
资料未提供该技能的具体实现细节、支持的平台、安装方式、收费模式或价格信息。技能输出依赖用户提供的上下文完整度；对于缺失的上下文项，技能会以假设方式继续推进并标注缺口。资料中未说明该技能是否支持自动化执行、是否提供报告导出格式或是否与特定工具链集成。