# STRIDE 威胁分析 (stride-analysis-patterns)

> 用 STRIDE 方法从仿冒、篡改、抵赖、信息泄露、拒绝服务和权限提升六类系统地识别威胁。

- 分类: [安全审计](https://www.myskills.tools/zh/categories/security-audit/)
- 来源: 社区 · Seth Hobson
- 代码仓库: https://github.com/wshobson/agents/tree/main/plugins/security-scanning/skills/stride-analysis-patterns (commit be57c0b)
- SKILL.md: https://github.com/wshobson/agents/blob/main/plugins/security-scanning/skills/stride-analysis-patterns/SKILL.md
- 安装命令: `npx skills add wshobson/agents --skill stride-analysis-patterns`
- 许可证: MIT
- 兼容工具: Claude Code, Codex, Cursor, Copilot, OpenCode
- 权限: read-repo ✓, write-files ✓, shell ✗, network ✗
- 状态: 扫描通过
- 规则扫描无法覆盖所有风险，安装前请阅读此技能的 SKILL.md，确认权限后再使用。

## 核心规则

覆盖全部六个 STRIDE 类别，不跳过任何一类。

## 执行阶段

1. **描述系统** — 写出系统概述，画出数据流图，并标出各层信任边界。
2. **列出资产** — 列出凭据、个人数据、会话、日志和配置等资产及其敏感级别。
3. **逐类分析威胁** — 针对每个 STRIDE 类别，按组件或交互列出威胁、目标、影响和可能性。
4. **评估风险** — 用风险矩阵评估威胁，并按优先级排序。
5. **制定缓解措施** — 按立即、30 天和 90 天给出缓解建议，并把威胁模型作为持续更新的文档。

## 权限说明（据 SKILL.md 整理）

| 能力 | 是否需要 | 说明 |
|---|---|---|
| 文件写入 | 需要 | 编写威胁模型文档和相关分析材料。 |
| 命令执行 | 不需要 | 这是分析方法和模板，不需要运行命令。 |
| 网络外发 | 不需要 | 说明中没有网络访问步骤。 |

## SKILL.md 头部信息（YAML）

```yaml
---
name: stride-analysis-patterns
description: Apply STRIDE methodology to systematically identify threats. Use when analyzing system security, conducting threat modeling sessions, or creating security documentation.
---
```

首页: https://www.myskills.tools/zh/ · URL: https://www.myskills.tools/zh/skills/stride-analysis-patterns/