O que security-requirement-extraction faz?
Derive requisitos de segurança a partir de modelos de ameaças e contexto de negócios. Use ao traduzir ameaças em requisitos acionáveis, criar histórias de usuário de segurança ou construir casos de teste de segurança.
Visão Geral
Esta skill ajuda a:
- Extrair requisitos de segurança explícitos e implícitos a partir de ameaças identificadas (por exemplo, usando STRIDE).
- Contextualizar requisitos com base no domínio de negócios, conformidade e perfil de risco.
- Criar histórias de usuário de segurança com critérios de aceitação.
- Gerar casos de teste de segurança a partir dos requisitos.
Como Usar
- Forneça o modelo de ameaças (ameaças identificadas, ativos, atacantes).
- Compartilhe o contexto de negócios (domínio, regulamentações, tolerância a risco).
- A skill retornará:
- Requisitos funcionais e não funcionais de segurança
- Histórias de usuário de segurança no formato:
Como um [ator], quero [ação] para que [benefício de segurança].
- Cenários de teste para validar os requisitos.
Exemplo de Prompt
Modelo de ameaças: STRIDE
Ameaças:
- Spoofing: atacante pode se passar por um usuário legítimo via sessão não criptografada.
- Tampering: dados em trânsito podem ser alterados.
Contexto: Aplicação bancária online, sujeita a PCI-DSS. Risco alto de fraude.
Saída da skill:
| # | Requisito | Tipo | Prioridade |
|---|---|---|---|
| 1 | Todas as sessões devem usar TLS 1.3 ou superior. | Funcional | Crítica |
| 2 | Implementar autenticação multifator (MFA) para transações acima de R$ 1.000. | Funcional | Alta |
| 3 | Os dados em trânsito devem ser protegidos com integridade via HMAC. | Não funcional | Alta |
Boas Práticas
- Sempre vincule requisitos a ameaças específicas para rastreabilidade.
- Use critérios de aceitação claros e testáveis.
- Considere trade-offs entre segurança e usabilidade.
- Revise os requisitos com as partes interessadas.
Limitações
- A skill depende da qualidade do modelo de ameaças fornecido.
- Não substitui uma análise de risco formal.
- A saída deve ser validada por um especialista em segurança.