Notre avis
Construire des arbres d'attaque complets pour visualiser les chemins de menace et analyser les risques de sécurité.
Points forts
- Visualisation systématique des scénarios d'attaque complexes.
- Identification claire des lacunes de défense et des priorités.
- Communication efficace des risques aux parties prenantes.
- Structuration AND/OR pour modéliser des dépendances d'attaque.
Limites
- Nécessite une autorisation et un périmètre définis pour être utilisé légalement.
- Peut devenir très complexe pour de grands systèmes sans outils de support.
- Ne remplace pas une analyse de risques approfondie ou un test d'intrusion.
Utilisez cette compétence lorsque vous devez visualiser des chemins d'attaque complexes, identifier des lacunes de défense ou communiquer des risques de sécurité à des parties prenantes.
Ne l'utilisez pas si vous manquez d'autorisation ou de périmètre défini pour modéliser le système, ou si la tâche est un examen général des risques sans modélisation de chemins d'attaque.
Analyse de sécurité
SûrThe skill is purely analytical; it describes constructing attack trees without any executable commands, system modifications, or data exfiltration. No security risk.
Aucun point d'attention détecté
Exemples
Construct an attack tree for a web application to visualize potential threats, identify defense gaps, and prioritize mitigations.Create an attack tree for a cloud infrastructure, identifying critical attack paths, annotating leaves with cost and skill, and recommending mitigations.Develop an attack tree for the authentication system of our mobile app, using AND/OR decomposition, and map existing mitigations per branch.name: attack-tree-construction description: Build comprehensive attack trees to visualize threat paths. Use when mapping attack scenarios, identifying defense gaps, or communicating security risks to stakeholders.
Attack Tree Construction
Systematic attack path visualization and analysis.
Use this skill when
- Visualizing complex attack scenarios
- Identifying defense gaps and priorities
- Communicating risks to stakeholders
- Planning defensive investments or test scopes
Do not use this skill when
- You lack authorization or a defined scope to model the system
- The task is a general risk review without attack-path modeling
- The request is unrelated to security assessment or design
Instructions
- Confirm scope, assets, and the attacker goal for the root node.
- Decompose into sub-goals with AND/OR structure.
- Annotate leaves with cost, skill, time, and detectability.
- Map mitigations per branch and prioritize high-impact paths.
- If detailed templates are required, open
resources/implementation-playbook.md.
Safety
- Share attack trees only with authorized stakeholders.
- Avoid including sensitive exploit details unless required.
Resources
resources/implementation-playbook.mdfor detailed patterns, templates, and examples.
Auditeur de Securite
Securite
Analyse le code pour detecter les vulnerabilites OWASP Top 10.
Checklist de Sécurité OWASP
Securite
Génère des checklists de sécurité applicative basées sur l'OWASP Top 10.
Modélisation de Menaces
Securite
Génère des documents de modélisation de menaces avec analyse STRIDE.