How do I install the Security Threat Modeling skill?

Run npx skillmds@latest add aibot88/security-threat-modeling in your terminal (requires Node.js), paste this page's agent-chat prompt into Claude, Cursor, or any MCP-connected agent, or download the SKILL.md file and copy it into your agent's skills directory.

Is Security Threat Modeling safe to use?

This skill has not completed SkillMD's automated safety review yet. Independent scanners report: SkillSpector: PASS, Skill Scanner: PASS. Capability flags: docs only. SkillMD never runs a skill's scripts for you; review the SKILL.md before installing.

Which AI agents work with Security Threat Modeling?

This skill is tagged as working with Claude Code, Claude.ai, OpenAI Codex. SKILL.md is an open format, so most agents that read a skills directory can load it too.

Is Security Threat Modeling free to use?

Yes. Installing skills from SkillMD is free, and the skill stays under its author's original license.

Who published Security Threat Modeling?

aibot88 (@aibot88) published this skill. Their other Agent Skills are listed on their SkillMD profile.

Security Threat Modeling by aibot88

Name: Security Threat Modeling
Rating: 4.5 (4 reviews)
Author: aibot88

Security Threat Modeling

Modélisation des menaces pour applications et systèmes — identification des surfaces d'attaque, classification STRIDE, arbres d'attaque et stratégies de mitigation. À utiliser quand l'utilisateur veut sécuriser une architecture, identifier des vulnérabilités potentielles ou réaliser une analyse de risques. Se déclenche aussi avec "threat modeling", "modélisation des menaces", "surface d'attaque", "STRIDE", "risques de sécurité", "analyse de menaces", "DREAD".

aibot88 Updated Sep 9, 2026 3 repo stars

File contents

Modélisation des Menaces

Workflow

Décomposer : identifier les composants, flux de données et points d'entrée.
Identifier : appliquer STRIDE pour trouver les menaces.
Évaluer : prioriser avec DREAD ou une matrice impact/probabilité.
Atténuer : définir les contrôles de sécurité pour chaque menace.

Méthodologie STRIDE

Menace	Description	Cible	Exemples
Spoofing	Usurpation d'identité	Authentification	Faux tokens, session hijacking
Tampering	Altération de données	Intégrité	Modification de requêtes, SQL injection
Repudiation	Nier une action	Non-répudiation	Absence de logs, logs modifiables
Information Disclosure	Fuite de données	Confidentialité	API exposant trop de champs, logs sensibles
Denial of Service	Rendre indisponible	Disponibilité	DDoS, épuisement de ressources
Elevation of Privilege	Escalade de droits	Autorisation	IDOR, bypass d'autorisations

Analyse par composant

API REST

Menace: Spoofing
  → Contrôle: JWT avec rotation des clés, MFA

Menace: Tampering
  → Contrôle: Validation d'entrée, parameterized queries

Menace: Information Disclosure
  → Contrôle: DTO de réponse (pas d'entités directes), HTTPS

Menace: Elevation of Privilege
  → Contrôle: RBAC, vérification d'ownership sur chaque ressource

Base de données

Menace: Tampering
  → Contrôle: Parameterized queries, principes de moindre privilège

Menace: Information Disclosure
  → Contrôle: Chiffrement au repos (TDE), connexions chiffrées

Menace: Denial of Service
  → Contrôle: Connection pooling, query timeouts, rate limiting

File d'attente (RabbitMQ, Service Bus)

Menace: Spoofing
  → Contrôle: Authentification des publishers, signatures de messages

Menace: Tampering
  → Contrôle: Intégrité des messages (HMAC), chiffrement

Menace: Repudiation
  → Contrôle: Message IDs, audit trail, correlation IDs

Évaluation DREAD

Critère	Description	Score (1-10)
Damage	Impact si exploité	?
Reproducibility	Facilité de reproduction	?
Exploitability	Facilité d'exploitation	?
Affected users	Nombre d'utilisateurs impactés	?
Discoverability	Facilité de découverte	?

Score total = moyenne → Priorité de correction

Template de rapport

### Menace: [Nom]

- **Type STRIDE**: [S/T/R/I/D/E]
- **Composant affecté**: [...]
- **Score DREAD**: [X/10]
- **Description**: [...]
- **Scénario d'attaque**: [...]
- **Impact**: [...]
- **Mitigation recommandée**: [...]
- **Statut**: [Non traité / En cours / Résolu]

Règles

Chaque nouvelle fonctionnalité doit passer par une revue STRIDE.
Les menaces identifiées doivent être trackées comme des tickets.
Prioriser les menaces par impact métier, pas seulement par score technique.
Revoir le modèle de menaces à chaque changement d'architecture.

Ce skill est un outil d'analyse de sécurité défensif. Il ne fournit pas de techniques d'exploitation.

Communication Rules — MANDATORY

Ultra-concise. No filler, no preamble, no pleasantries.
Never say "happy to help", "sure!", "great question", "let me", or similar.
Tool first, talk second. Act before explaining.
Result first. Lead with outcome, not process.
Stop when done. No summary, no recap, no trailing commentary.
No politeness wrappers. Direct and blunt.
Minimum words. If one word works, do not use ten.
No unsolicited explanations.
No emoji unless asked.

---name: security-threat-modelingdescription: Modélisation des menaces pour applications et systèmes — identification des surfaces d'attaque, classification STRIDE, arbres d'attaque et stratégies de mitigation. À utiliser quand l'utilisateur veut sécuriser une architecture, identifier des vulnérabilités potentielles ou réaliser une analyse de risques. Se déclenche aussi avec "threat modeling", "modélisation des menaces", "surface d'attaque", "STRIDE", "risques de sécurité", "analyse de menaces", "DREAD".--- # Modélisation des Menaces ## Workflow 1. **Décomposer** : identifier les composants, flux de données et points d'entrée. 2. **Identifier** : appliquer STRIDE pour trouver les menaces. 3. **Évaluer** : prioriser avec DREAD ou une matrice impact/probabilité. 4. **Atténuer** : définir les contrôles de sécurité pour chaque menace. ## Méthodologie STRIDE | Menace | Description | Cible | Exemples | |--------|------------|-------|----------| | **S**poofing | Usurpation d'identité | Authentification | Faux tokens, session hijacking | | **T**ampering | Altération de données | Intégrité | Modification de requêtes, SQL injection | | **R**epudiation | Nier une action | Non-répudiation | Absence de logs, logs modifiables | | **I**nformation Disclosure | Fuite de données | Confidentialité | API exposant trop de champs, logs sensibles | | **D**enial of Service | Rendre indisponible | Disponibilité | DDoS, épuisement de ressources | | **E**levation of Privilege | Escalade de droits | Autorisation | IDOR, bypass d'autorisations | ## Analyse par composant ### API REST ``` Menace: Spoofing → Contrôle: JWT avec rotation des clés, MFA Menace: Tampering → Contrôle: Validation d'entrée, parameterized queries Menace: Information Disclosure → Contrôle: DTO de réponse (pas d'entités directes), HTTPS Menace: Elevation of Privilege → Contrôle: RBAC, vérification d'ownership sur chaque ressource ``` ### Base de données ``` Menace: Tampering → Contrôle: Parameterized queries, principes de moindre privilège Menace: Information Disclosure → Contrôle: Chiffrement au repos (TDE), connexions chiffrées Menace: Denial of Service → Contrôle: Connection pooling, query timeouts, rate limiting ``` ### File d'attente (RabbitMQ, Service Bus) ``` Menace: Spoofing → Contrôle: Authentification des publishers, signatures de messages Menace: Tampering → Contrôle: Intégrité des messages (HMAC), chiffrement Menace: Repudiation → Contrôle: Message IDs, audit trail, correlation IDs ``` ## Évaluation DREAD | Critère | Description | Score (1-10) | |---------|------------|--------------| | **D**amage | Impact si exploité | ? | | **R**eproducibility | Facilité de reproduction | ? | | **E**xploitability | Facilité d'exploitation | ? | | **A**ffected users | Nombre d'utilisateurs impactés | ? | | **D**iscoverability | Facilité de découverte | ? | Score total = moyenne → Priorité de correction ## Template de rapport ```markdown ### Menace: [Nom] - **Type STRIDE**: [S/T/R/I/D/E] - **Composant affecté**: [...] - **Score DREAD**: [X/10] - **Description**: [...] - **Scénario d'attaque**: [...] - **Impact**: [...] - **Mitigation recommandée**: [...] - **Statut**: [Non traité / En cours / Résolu] ``` ## Règles - Chaque nouvelle fonctionnalité doit passer par une **revue STRIDE**. - Les menaces identifiées doivent être **trackées** comme des tickets. - Prioriser les menaces par **impact métier**, pas seulement par score technique. - Revoir le modèle de menaces à chaque **changement d'architecture**. > Ce skill est un outil d'analyse de sécurité défensif. Il ne fournit pas de techniques d'exploitation. ## Communication Rules — MANDATORY - Ultra-concise. No filler, no preamble, no pleasantries. - Never say "happy to help", "sure!", "great question", "let me", or similar. - Tool first, talk second. Act before explaining. - Result first. Lead with outcome, not process. - Stop when done. No summary, no recap, no trailing commentary. - No politeness wrappers. Direct and blunt. - Minimum words. If one word works, do not use ten. - No unsolicited explanations. - No emoji unless asked.

Frequently asked questions