control "Guards" {
  description = "Trained guards patrol tower"
  risk_reduction = 75
}

データフローダイアグラムを自動的にPNGに変換する方法の詳細については、[Data Flow Diagram](#data-flow-diagram) を参照してください。

[OWASP Proactive Controls](https://owasp.org/www-project-proactive-controls/) および [AWS Security Checklist](https://d1.awsstatic.com/whitepapers/Security/AWS_Security_Checklist.pdf) の事前定義されたコントロールライブラリを参照する方法の例については、[examples/tm3.hcl](https://github.com/threatcl/threatcl/blob/HEAD/examples/tm3.hcl) を参照してください。また、[MITRE ATT&CK Controls](https://attack.mitre.org/mitigations/enterprise/) は[here](https://github.com/threatcl/threatcl/blob/HEAD/examples/MITRE_ATTACK_controls.hcl)にも用意しています。

外部の脅威モデルを自身のモデルに組み込むことで、そのすべての情報を参照して使用することもできます。例としては、[examples/including-example/corp-app.hcl](https://github.com/threatcl/threatcl/blob/HEAD/examples/including-example/corp-app.hcl) を参照してください。

仕様の完全な説明については、[here](https://github.com/threatcl/threatcl/blob/HEAD/spec.hcl) を参照するか、以下を実行してください：```bash
threatcl generate boilerplate

## Docker で実行```bash
docker run --rm -it ghcr.io/threatcl/threatcl:latest

コンテナイメージを検証してください（タグは自動的にダイジェストに解決されます）:```bash
gh attestation verify oci://ghcr.io/threatcl/threatcl:<version> --repo threatcl/threatcl

完全なサプライチェーンの姿勢については、[docs/SLSA.md](https://github.com/threatcl/threatcl/blob/HEAD/docs/SLSA.md) を参照してください。

## GitHub Actions で実行する

`threatcl` は、https://github.com/threatcl/threatcl-action を使用して GitHub リポジトリに直接統合できます。これは脅威モデルを管理する理想的な方法の一つであり、バージョン管理システムへの統合という目標を達成するのに役立ちます。

## ソースからのビルド

1. このリポジトリをクローンします。
2. `threatcl` ディレクトリに移動します。
3. `make bootstrap`
4. `make build`

`threatcl` への貢献に関する詳細なヘルプについては、[CHANGELOG.md](https://github.com/threatcl/threatcl/blob/HEAD/CHANGELOG.md) を参照してください。

## 使用方法

任意のサブコマンドのヘルプを表示するには、`-h` フラグを使用します。```bash
$ threatcl
Usage: threatcl [--version] [--help] <command> [<args>]

Available commands are:
    cloud        Interact with ThreatCL Cloud services
    dashboard    Generate markdown files from existing HCL threatmodel file(s)
    dfd          Generate Data Flow Diagram PNG or DOT files from existing HCL threatmodel file(s)
    export       Export threat models into other formats
    generate     Generate an HCL Threat Model
    list         List Threatmodels found in HCL file(s)
    mcp          Model Context Protocol (MCP) server for threatcl
    mermaid      Output raw mermaid source from 'mermaid' blocks in existing HCL threatmodel file(s)
    query        Execute GraphQL queries against threat model data
    server       Start a GraphQL API server for threat models
    terraform    Parse output from 'terraform show -json'
    validate     Validate existing HCL Threatmodel file(s)
    view         View existing HCL Threatmodel file(s)

これらの属性を変更する場合は、他の操作のために設定ファイルを提供する必要があることを覚えておいてください。これは検証やダッシュボードの作成に影響を与える可能性があります。

## クラウドコマンド

`cloud` サブコマンドの詳細については、https://threatcl.dev/cloud/overview/ をご覧ください。

## リストと表示

`threatcl list` および `threatcl view` コマンドを使用して、`threatcl` 仕様の HCL ファイルからデータを一覧表示および表示できます。```bash
$ threatcl list examples/*
#  File              Threatmodel      Author
1  examples/tm1.hcl  Tower of London  @xntrik
2  examples/tm1.hcl  Fort Knox        @xntrik
3  examples/tm2.hcl  Modelly model    @xntrik

### 不変条件

`threatcl validate`は、組織全体の不変条件 — 機械的にチェック可能なルール（例：「公開エンドポイントは認証なしであってはならない」や「すべてのインターネット向け機能は監査ログを文書化しなければならない」）— を、検証済みのすべての脅威モデルに対して適用することもできます:```bash
$ threatcl validate -invariants=invariants.hcl ./models/
Validated 4 threatmodels in 3 files
Invariant violation [error] 'threats_have_implemented_controls': threat 'Credential theft' in threatmodel 'Payments' (models/payments.hcl): Every threat must have at least one implemented control
Checked 3 invariants against 4 threatmodels: 1 errors, 0 warnings, 1 exemptions

## 生成

`threatcl generate`コマンドは、汎用の`boilerplate` `threatcl`仕様HCLファイルを出力するか、対話的にユーザーに質問して`threatcl`仕様HCLファイルを出力するために使用されます。

### 対話的な生成

次の例を参照してください：```bash
threatcl generate interactive

これにより、最小限のHCL脅威モデルがエディタで開かれます。作成後にモデルを検証したい場合は、`-validate`フラグを使用してください。

## MCP

`threatcl mcp`コマンドは、ローカルの[MCP](https://modelcontextprotocol.io/introduction)サーバーを公開します。これにより、MCPホストを介してthreatcl hclファイルと対話できます。例えば、[Claude Desktop](https://claude.ai/download)、[Cursor](https://www.cursor.com/)、またはMCPをサポートするその他のAI/LLMアプリケーションなどです。

このコマンドは、オプションの引数`-dir=<path>`を1つ受け取ります。これにより、追加のMCPツールがそのパス内のファイルと対話できるようになります。この設定がない場合、MCPツールは文字列と対話できますが、基盤となるファイルシステムとの対話はMCPホスト内の他のメカニズムに依存します。

現時点では、この機能はかなりベータ版であると言えます。

## LSP（言語サーバー）

`threatcl lsp`コマンドは、[Language Server Protocol](https://microsoft.github.io/language-server-protocol/)サーバーをstdio上で実行し、LSP対応エディタにthreatcl HCL脅威モデルのライブ診断、補完、ホバー、ドキュメントシンボル、および書式設定を提供します。

これは手動で実行するのではなく、エディタのLSPクライアントによって起動されます。threatclファイルはTerraformやその他のHCL方言と`.hcl`拡張子を共有するため、`*.tm.hcl`でのマッチング（またはクライアントを脅威モデルワークスペースにスコープする）により、Terraform言語サーバーとの競合を回避できます。

エディタの設定（Neovim、Helix、VS Code、Zed）と現在の制限事項については、[docs/lsp.md](https://github.com/threatcl/threatcl/blob/HEAD/docs/lsp.md)を参照してください。

## Server（GraphQL API）

`threatcl server`コマンドは、GraphQL APIサーバーを起動し、脅威モデルをHTTP経由で公開して、プログラムによるクエリと統合を可能にします。

### 基本的な使い方```bash
# Start the server
$ threatcl server -dir ./examples

# With file watching for auto-reload
$ threatcl server -dir ./examples -watch

# Custom port
$ threatcl server -dir ./examples -port 3000

### ドキュメント

完全なAPIドキュメント、スキーマリファレンス、高度なクエリ、および統合例については、以下を参照してください：
- **完全なAPIドキュメント**: [docs/graphql-api.md](https://github.com/threatcl/threatcl/blob/HEAD/docs/graphql-api.md)
- **クエリ例**: [examples/graphql-queries.md](https://github.com/threatcl/threatcl/blob/HEAD/examples/graphql-queries.md)

## クエリ（GraphQL CLI）

`threatcl query` コマンドは、サーバーを起動せずにコマンドラインから直接GraphQLクエリを実行します。これは自動化、CI/CDパイプライン、およびシェルスクリプトに最適です。

### 基本的な使い方```bash
# Get statistics
$ threatcl query -dir ./examples -query '{ stats { totalThreats } }'

# Query from file
$ threatcl query -dir ./examples -file queries/get-stats.graphql

# Use in scripts
$ THREATS=$(threatcl query -dir ./examples \
    -query '{ stats { totalThreats } }' \
    -output compact | jq -r '.data.stats.totalThreats')
$ echo "Found $THREATS threats"

### CI/CD の例```bash
#!/bin/bash
# Check if all controls are implemented before deployment

UNIMPLEMENTED=$(threatcl query -dir ./threatmodels \
  -query '{ stats { totalControls implementedControls } }' \
  -output compact | jq -r '.data.stats.totalControls - .data.stats.implementedControls')

if [ "$UNIMPLEMENTED" -gt 0 ]; then
  echo "ERROR: $UNIMPLEMENTED controls are not yet implemented"
  exit 1
fi

echo "All controls implemented, proceeding with deployment"

### Custom Markdown Templates

`threatcl dashboard` コマンドは、カスタムテンプレートを指定するためのオプションフラグも受け取ることができます（Go言語の [text/template](https://pkg.go.dev/text/template) に準拠）。

ダッシュボードテンプレートファイルを指定するには、`-dashboard-template` フラグを使用します。例については、[dashboard-template.tpl](https://github.com/threatcl/threatcl/blob/HEAD/examples/dashboard-template.tpl) を参照してください。

スレットモデルテンプレートファイルを指定するには、`-threatmodel-template` フラグを使用します。例については、[threatmodel-template.tpl](https://github.com/threatcl/threatcl/blob/HEAD/examples/threatmodel-template.tpl) を参照してください。

### Custom Filename for the Dashboard Index file

`threatcl dashboard` コマンドは、生成されるダッシュボードファイルの「インデックス」ファイル名を指定するためのオプションフラグも受け取ることができます。デフォルトではこのファイルは `dashboard.md` です。拡張子なしで `-dashboard-filename` フラグを使用して、このファイル名を変更します。

## Data Flow Diagram

[spec](https://github.com/threatcl/threatcl/blob/HEAD/spec.hcl) に従って、`threatmodel` は `data_flow_diagram_v2` ブロックを含むことができます。簡単なDFDの例は [こちら](https://github.com/threatcl/threatcl/blob/HEAD/examples/tm2.hcl) にあります。古い単一使用ブロックの `data_flow_diagram` はいつか非推奨になる予定なので、名前付きブロックの `data_flow_diagram_v2` を使用することをお勧めします。これにより、複数の関連するDFDを持つことができます。

`threatcl dfd` コマンドは、`threatcl` 仕様のHCLファイルを受け取り、複数のPNGファイルを生成して、選択したフォルダに配置します。

HCLファイルに `data_flow_diagram` または `data_flow_diagram_v2` ブロックを含む `threatmodel` ブロックがない場合、何も出力されません。

コマンド自体は Dashboard コマンドと非常に似ています。```bash
$ threatcl dfd -overwrite -outdir testout examples/*
Successfully created 'testout/tm2-modellymodel.png'

これにより、[mermaid-cli](https://github.com/mermaid-js/mermaid-cli) のようなレンダラーにパイプで渡すことが簡単になります:```bash
$ threatcl mermaid model.hcl | mmdc -o diagram.svg -i -

## Terraform

`threatcl terraform` コマンドは、`terraform show -json`（[ドキュメントはこちら](https://www.terraform.io/docs/cli/commands/show.html)）の出力（プランファイルまたはアクティブなステートファイル）からデータリソースを抽出し、それらをドラフトの `information_asset` ブロックに変換して、`threatcl` ファイルに含めることができます。

既存のステートがあるフォルダにいる場合は、次のコマンドを実行できます。```bash
terraform show -json | threatcl terraform -stdin

また、まだTerraformで適用されていない計画ファイルからの同様の出力を確認するには、次のコマンドを実行します。```bash
terraform show -json <plan-file> | threatcl terraform -stdin

`-add-to-existing` フラグを使用すると、ソースファイル内に複数の脅威モデルがある場合に、特定の脅威モデルを指定するために `-tm-name=<string>` を指定することもできます。また、`-default-classification=Confidential` フラグを使用して、デフォルトの分類を適用することもできます。

これらのコマンドはファイルを入力として受け取ることもできます。その場合は、`-stdin` フラグを省略してください。

`threatcl` が認識している terraform リソースは、[pkg/terraform/terraform.go](https://github.com/threatcl/threatcl/blob/HEAD/pkg/terraform/terraform.go) にハードコードされています。`threatcl terraform` コマンドでそこに含まれていない他の `information_asset` リソースを出力したい場合は、`-tf-collection=<json file>` フラグを使用して、この json の独自バージョンを提供できます。