خادم MCP لنمذجة التهديدات

خادم بروتوكول سياق النموذج (MCP) لنمذجة التهديدات الشاملة مع التحقق الموجّه من الشيفرة.

جدول المحتويات

• نظرة عامة
• مطالبات البدء السريع
• الميزات الرئيسية
• المتطلبات الأساسية
• التثبيت
• التشغيل باستخدام Kiro CLI
• إدارة ملفات الإخراج
• مرجع سريع
• نظرة عامة على الأدوات
• منهجية نمذجة التهديدات
• الافتراضات في نمذجة التهديدات
• التطوير

نظرة عامة

يوفر هذا الخادم أدوات لنمذجة التهديدات، بما في ذلك تحليل سياق الأعمال، وتحليل البنية المعمارية، وتحليل الجهات الفاعلة للتهديد، وتحليل حدود الثقة، وتحليل تدفق الأصول، والتحقق من أمان الشيفرة، وإنشاء تقارير شاملة.

البنية المعمارية والنهج

يستدعي خادم MCP هذا نموذج اللغة الكبير (LLM) الخاص بالوكيل الموجود بدلاً من إجراء استدعاء API خارجي أو اتصال شبكي إلى خدمة مختلفة. وهو يعتمد على نموذج اللغة الكبير الخاص بالعميل الموجود، والذي قد يكون Amazon-Q أو Kiro أو Cline.

يمتلك خادم MCP لنمذجة التهديدات هذا ثلاث وظائف رئيسية:

1. إدارة مرحلة أو حالة نمذجة التهديدات والتحكم في المطالبات.
2. توجيه المطالبات، الذي يتحكم في الوكيل لاتباع نهج منهجي لنمذجة التهديدات باستخدام التعريفات المدمجة لمخاطر الأعمال ونقاط التعرض والجهات الفاعلة للتهديد واستخدام STRIDE بترتيب متسلسل.
3. التحقق المنظم من المدخلات وفحوصات إكمال المراحل التي تدعم تقرير نمذجة تهديدات قابل للتنفيذ.

كما يمتلك أدوات لإنشاء تقرير نهائي بصيغتي Markdown وJSON القابلة للتصدير.

المزايا الرئيسية لهذا النهج

• يتبع نموذج التهديد هذا نهج STRIDE القياسي لنمذجة التهديدات على مراحل بدلاً من الاستنتاج السريع للأصول والحدود والتهديدات، والذي قد يؤدي إلى الهلوسة أو مخرجات منخفضة الجودة.
• هناك جهد من قبل نموذج اللغة الكبير لفهم سياق الأعمال الخاص بالمشروع ووضع افتراضات صحيحة يمكن للمستخدم التحكم فيها.
• يعتمد هذا الخادم المحلي على نموذج اللغة الكبير المُهيأ في عميل MCP (Cline، Amazon Q، Kiro) بدلاً من استدعاء API نموذج منفصل. يعتمد تعرض البيانات على العميل وأي خوادم MCP أخرى يستدعيها العميل.
• يحتفظ الخادم بنموذج التهديد العامل في الذاكرة للعملية الحالية. يمكن لأدوات التصدير كتابة لقطات JSON وMarkdown إلى دليل .threatmodel، لكن تلك اللقطات لا تُحمَّل تلقائياً في جلسة لاحقة.
• تسجّل أداة التحقق من الشيفرة الأدلة التي يقدمها العميل بعد فحصه للتنفيذ، وتطبّق انتقالات الحالة بشكل ذري، وتُفشل المرحلة حتى يتم تغطية كل تهديد وتخفيف حالي.

مطالبات البدء السريع وأمثلة حول كيفية نمذجة التهديدات باستخدام خادم MCP هذا

ملاحظة: قبل استخدام هذه المطالبات، يجب عليك أولاً إكمال عملية التثبيت لإعداد خادم MCP.

بدء نموذج تهديد

"Threat model this project using the threat modeling MCP Server"

إن التحديد الواضح في الموجّه (prompt) لاستخدام خادم MCP لنمذجة التهديدات سيضمن أن يتبع العميل (Cline/Kiro/etc) المراحل والمنهجية الدقيقة بدلاً من سلوك مسار مختصر وإدخال هلوسة في النتائج.

نمذجة التهديد لمشروع فرعي أو تقليص النطاق إلى مجلد فرعي

"Threat model this subfolder using the threat modeling MCP Server"

تشغيله على مجلد فرعي يحدّ من نطاق التحليل المقصود. لحفظ الصادرات هناك، اطلب مسار إخراج داخل ذلك المجلد الفرعي؛ لا يُستنتج موقع التصدير تلقائيًا من نطاق التحليل.

حفظ نتيجة نموذج التهديد

"Save the threat model report"

التحقق من اكتمال عملية نمذجة التهديدات

"Please complete all the phases in the threat model plan and then generate the final report."

إدخال صورة مخطط معماري كمدخل

"Threat model this project using the threat model MCP server and consider this architecture_image.png attached for this review"

محاولة معالجة التهديدات

"Can you see if you can implement mitigation controls in the code based on the threats reported in the threat model"

إعادة توليد نموذج التهديد بناءً على إصلاحات الشيفرة

"Can you updated the threat model based on the code fixes which mitigated the reported threats"

المزيد من الأمثلة

# Set up context
"Set business context for an e-commerce payment system"

# Add architecture
"Add a web server component using AWS EC2"
"Add a database component using AWS RDS"

# Identify threats
"Add a threat where an attacker with network access performs SQL injection"

# Add mitigations
"Add a mitigation for input validation"

# Export results
"Export the threat model to my_model.tc.json"

الميزات الرئيسية

• نمذجة التهديدات الشاملة: نهج منظم لتحديد مخاطر الأمان وتقييمها ومعالجتها
• التحقق من صحة الكود المبني على الأدلة: يسجل أدلة التنفيذ، ويحدّث الحالات، وينتج تقريرًا حتميًا
• تحليل سياق الأعمال: فهم القيمة التجارية للنظام ومدى أهميته الحرجة
• تحليل البنية المعمارية: توثيق البنية التقنية للنظام وتدفقات البيانات فيه
• تحليل الجهات الفاعلة في التهديدات: تحديد الخصوم المحتملين وتقييم قدراتهم
• تحليل حدود الثقة: تحديد مناطق الثقة والتحقق من صحة ضوابط الأمان عند الحدود
• تحليل تدفق الأصول: تتبع الأصول الحرجة عبر النظام
• تحديد التهديدات: تحديد التهديدات المحتملة بشكل منهجي باستخدام منهجية STRIDE
• تخطيط التخفيف: تطوير استراتيجيات لمعالجة التهديدات المحددة
• مديرو النطاقات المدمجون: أدوات قائمة على الإجراءات للافتراضات والبنية المعمارية والجهات الفاعلة والحدود والأصول والتهديدات والتخفيفات
• دليل نموذج التهديد: إرشادات خطوة بخطوة خلال عملية نمذجة التهديدات
• فحص نموذج البيانات: أداة واحدة لسرد نماذج التعداد وفحص القيم المقبولة

المتطلبات الأساسية

قبل تثبيت Threat Modeling MCP Server، تأكد من توفر المتطلبات التالية:

متطلبات التثبيت

1. ثبّت uvx من Astral أو من GitHub README
   • uvx هو جزء من مدير الحزم uv
   • تحقق من التثبيت: uvx --version

التثبيت

بمجرد تثبيت uvx والتحقق من أنه يعمل، أضف التكوين أدناه إلى ملف التكوين mcp.json الخاص بك. اعتمادًا على نوع العميل الذي تستخدمه (kiro/cline/amazon-q)، سيختلف موقع ملف mcp.json هذا. بمجرد إضافة التكوين وإعادة تشغيل IDE الخاص بك، سيتم تثبيت Threat Modeling MCP Server تلقائيًا مباشرةً من مستودع GitHub هذا باستخدام uvx.

ملاحظة: الأدوات التي يستخدمها خادم mcp هذا لنمذجة التهديدات مضافة بالفعل إلى autoApprove لتسهيل تجربة المستخدم، مما يتيح التشغيل السلس دون مطالبات موافقة يدوية لكل استدعاء أداة. جميع الأدوات داخلية بالنسبة للخادم ولا تجري استدعاءات API خارجية. إذا كنت ترغب في مراجعة كل أداة من الأدوات والموافقة عليها عند كل استدعاء، فستحتاج إلى استبدال مصفوفة autoApprove بهذا: "autoApprove": []

التكوين

أضف ما يلي إلى تكوين عميل MCP الخاص بك:

لـ Amazon Q (~/.aws/amazonq/mcp.json):

{
  "mcpServers": {
    "threat-modeling-mcp-server": {
      "command": "uvx",
      "args": [
        "--from",
        "git+https://github.com/awslabs/threat-modeling-mcp-server.git",
        "threat-modeling-mcp-server"
      ],
      "env": {
        "FASTMCP_LOG_LEVEL": "ERROR"
      },
      "disabled": false,
      "autoApprove": ["manage_workflow","export_threat_model","manage_system_context","manage_assumptions","manage_architecture","manage_threat_actors","manage_trust_boundaries","manage_asset_flows","manage_threats","inspect_data_models","manage_code_validation"]
    }
  }
}

لـ VSCode Cline:

{
  "mcpServers": {
    "threat-modeling-mcp-server": {
      "command": "uvx",
      "args": [
        "--from",
        "git+https://github.com/awslabs/threat-modeling-mcp-server.git",
        "threat-modeling-mcp-server"
      ],
      "env": {
        "FASTMCP_LOG_LEVEL": "ERROR"
      },
      "disabled": false,
      "autoApprove": ["manage_workflow","export_threat_model","manage_system_context","manage_assumptions","manage_architecture","manage_threat_actors","manage_trust_boundaries","manage_asset_flows","manage_threats","inspect_data_models","manage_code_validation"],
      "timeout": 60,
      "type": "stdio"
    }
  }
}