security-design

Plugin security-design from marketplace security-design in nakamori-naoya/security-design-plugins. Commands read from the repo's manifest — 12 days ago.

Skills (5)

• analyze-browser-security

  守るものの資料を入力に、ブラウザと利用者の端末を通る攻撃（XSS、CSRF、クリックジャッキング、トークンや秘密の値の持ち出し、端末とキャッシュに残る情報、ブラウザから直接データへ届く経路、フロントエンドの依存パッケージ）を分析し、採る対策、採らない対策、残るリスクを書いたブラウザ側の分析の資料を1本保存する。「ブラウザ側のセキュリティを分析して」「XSS と CSRF の対策をこのアプリに照らして決めて」と言われたとき、または design-security から呼ばれたときに使う。守るものを決めること、サーバーサイドとインフラの分析、コードの修正は扱わない。

• analyze-infrastructure-security

  守るものの資料を入力に、インフラと運用で守るもの（権限と ID、運営者と CI のアカウント、供給経路、ネットワークへの露出、費用を狙う攻撃と停止の仕組み、バックアップと鍵、監視と知らせ、設定の誤り）を分析し、採る対策、採らない対策、残るリスクを書いたインフラの分析の資料を1本保存する。「インフラのセキュリティを分析して」「クラウドの権限と運用の穴を洗い出して」「費用の攻撃と自動停止を設計して」と言われたとき、または design-security から呼ばれたときに使う。守るものを決めること、ブラウザとサーバーサイドの分析、クラウドの製品の選定、IaC の実装と適用は扱わない。

• analyze-server-security

  守るものの資料を入力に、サーバーサイドで守るもの（認可、入力の検証と業務の不変条件、締切や在庫のような順序と時刻、認証の実装、注入、外部への要求、エラーとログ、非同期の処理が受け取る中身）を分析し、採る対策、採らない対策、残るリスクを書いたサーバーサイドの分析の資料を1本保存する。「サーバー側のセキュリティを分析して」「認可の穴や IDOR を洗い出して」「このドメインの不変条件を攻撃から守れているか見て」と言われたとき、または design-security から呼ばれたときに使う。守るものを決めること、ブラウザとインフラの分析、入口ごとの保護の宣言、コードの修正は扱わない。

• decide-what-to-protect

  対象のシステムについて、何を守るか（壊されたら困る業務の結果と、それを支える情報）、誰から守るか（動機と能力を持つ攻撃者と、運営者自身の誤り）、どこまで守るか（費用の上限、受け入れるリスク、守らないもの）を決め、守るものの資料を1本保存する。「何を守るか決めて」「セキュリティの前提を整理して」「脅威を分析する前に守る対象を明らかにして」と言われたとき、または design-security から呼ばれたときに使う。層ごとの脅威と対策の分析、対策の実装は扱わない。

• design-security

  セキュリティの設計を通しで進める playbook。decide-what-to-protect で何を誰からどこまで守るかを決め、対象に当てはまる層の分析（analyze-browser-security、analyze-server-security、analyze-infrastructure-security）を呼び、層をまたぐ脅威と層どうしの隙間を見つけて、公開前に入れる対策、採らない対策、受け入れたリスク、検知と復旧の備えを一本のセキュリティ設計の資料にまとめる。「このシステムのセキュリティを設計して」「脅威と対策を全体で整理して」「公開前に何を入れるべきか決めて」と言われたときに

Similar plugins