خادم MCP لنمذجة التهديدات

خادم بروتوكول سياق النموذج (MCP) لنمذجة شاملة للتهديدات مع التحقق التلقائي من الشيفرة.

جدول المحتويات

• نظرة عامة
• بدء سريع باستخدام الأوامر
• الميزات الرئيسية
• المتطلبات الأساسية
• التثبيت
• التشغيل باستخدام Kiro CLI
• إدارة ملفات المخرجات
• مرجع سريع
• نظرة عامة على الأدوات
• منهجية نمذجة التهديدات
• الافتراضات في نمذجة التهديدات
• التطوير
• خريطة الطريق

نظرة عامة

يوفر هذا الخادم أدوات لنمذجة التهديدات، بما في ذلك تحليل سياق الأعمال، وتحليل البنية، وتحليل الجهات الفاعلة المهددة، وتحليل حدود الثقة، وتحليل تدفق الأصول، والتحقق الأمني من الشيفرة، وإنشاء تقارير شاملة.

البنية والمنهجية

يستدعي خادم MCP هذا نموذج اللغة الكبير (LLM) للوكيل الموجود بدلاً من إجراء استدعاء خارجي لواجهة برمجة تطبيقات (API) أو شبكة إلى خدمة مختلفة. يعتمد على نموذج اللغة الكبير (LLM) للعميل الموجود والذي قد يكون Amazon-Q أو Kiro أو Cline.

يحتوي خادم نمذجة التهديدات MCP هذا على ثلاث وظائف رئيسية:

1. إدارة مرحلة نمذجة التهديدات أو حالاتها والتحكم في الأوامر.
2. توجيه الأوامر، الذي يتحكم في الوكيل لاتباع منهج منهجي لنمذجة التهديدات باستخدام تعريفات مدمجة للمخاطر التجارية، والتعرضات، والجهات الفاعلة المهددة، واستخدام STRIDE بترتيب تسلسلي.
3. التحقق من صحة البيانات في كل حالة أو مرحلة، مما ينتج عنه تقرير نمذجة تهديدات قابل للتنفيذ.

كما يحتوي على أدوات لإنشاء تقرير نهائي بتنسيقات Markdown و JSON قابلة للتصدير.

المزايا الرئيسية لهذا النهج

• يتبع نموذج التهديد هذا نهج STRIDE القياسي لنمذجة التهديدات في مراحل بدلاً من الاستنتاج السريع للأصول والحدود والتهديدات الذي قد يؤدي إلى الهلوسة أو مخرجات منخفضة الجودة.
• هناك جهد من قبل نموذج اللغة الكبير (LLM) لفهم سياق الأعمال للمشروع ووضع افتراضات صالحة يمكن التحكم بها من قبل المستخدم.
• الميزة الرئيسية لاستخدام خادم نمذجة التهديدات MCP المحلي هذا هي أنه يستفيد من نموذج اللغة الكبير (LLM) الموجود لدى العميل (Cline, Amazon-Q, Kiro). أي بيانات تتم معالجتها أو إرسالها تقتصر على العميل أو خوادم MCP الأخرى التي قد تكون قمت بتثبيتها واستدعائها. لا يقوم هذا الخادم باستدعاء أي واجهات برمجة تطبيقات (APIs) خارجية أخرى أو إرسال أو استقبال بيانات تتجاوز استدعاء نموذج اللغة الكبير (LLM) للعميل أو فوترة أو رموز إضافية تتجاوز ما تم تكوين عميلك لاستخدامه بالفعل.
• يخزن نهج نمذجة التهديدات هذا نموذج التهديد الخاص بك في نفس المستودع داخل دليل .threatmodel ويمكنك تطوير نموذج التهديد الخاص بك مع تطور الشيفرة والتصميم والبنية الخاصة بك.
• ينظر نهج نمذجة التهديدات هذا إلى الشيفرة إذا كانت موجودة ويقوم بتحديث التهديدات إذا تم بالفعل التخفيف منها من خلال ضوابط على مستوى الشيفرة. يمكنك إعادة تشغيل نموذج التهديد بمجرد إصلاح الشيفرة الخاصة بك ويجب أن ينظر إلى الإصلاح لتحديث نموذج التهديد بسرعة.

بدء سريع باستخدام الأوامر وأمثلة حول كيفية نمذجة التهديدات باستخدام خادم MCP هذا

ملاحظة: قبل استخدام هذه الأوامر، يجب أولاً إكمال عملية التثبيت لإعداد خادم MCP.

بدء نموذج تهديد```

"Threat model this project using the threat modeling MCP Server"

إن التحديد في المطالبة لاستخدام خادم MCP لنمذجة التهديدات سيضمن أن العميل (Cline/Kiro/إلخ) سيتبع المراحل والمنهجية الدقيقة بدلاً من اتباع طريق مختصر وإدخال هلوسة في النتائج.

### نمذجة التهديدات لمشروع فرعي أو تقليل النطاق إلى مجلد فرعي```
"Threat model this subfolder using the threat modeling MCP Server"

تشغيله على مجلد فرعي سيحدد نطاق نموذج التهديد والرمز إلى ذلك المجلد الفرعي ويحفظ النتائج كدليل .threatmodel داخل المجلد الفرعي.

حفظ نتيجة نموذج التهديد```

"Save the threat model report"

### التحقق من اكتمال عملية نمذجة التهديدات```
"Please complete all the phases in the threat model plan and then generate the final report."

قم بتغذية صورة رسم تخطيطي للهندسة المعمارية كمدخلات```

"Threat model this project using the threat model MCP server and consider this architecture_image.png attached for this review"

### محاولة معالجة التهديدات```
"Can you see if you can implement mitigation controls in the code based on the threats reported in the threat model"

إعادة إنشاء نموذج التهديدات بناءً على إصلاحات الكود```

"Can you updated the threat model based on the code fixes which mitigated the reported threats"

### المزيد من الأمثلة```bash
# Set up context
"Set business context for an e-commerce payment system"

# Add architecture
"Add a web server component using AWS EC2"
"Add a database component using AWS RDS"

# Identify threats
"Add a threat where an attacker with network access performs SQL injection"

# Add mitigations
"Add a mitigation for input validation"

# Export results
"Export the threat model to my_model.json"

الميزات الرئيسية

• نمذجة التهديدات الشاملة: نهج منظم لتحديد وتقييم ومعالجة مخاطر الأمان
• التحقق التلقائي من الكود: يكتشف الكود في دليل المشروع ويتحقق تلقائيًا من نموذج التهديدات مقابله
• تحليل السياق التجاري: فهم القيمة التجارية وأهمية النظام
• تحليل البنية: توثيق البنية الفنية للنظام وتدفقات البيانات
• تحليل الجهات الفاعلة للتهديدات: تحديد الخصوم المحتملين وتقييم قدراتهم
• تحليل حدود الثقة: تحديد مناطق الثقة والتحقق من ضوابط الأمان عند الحدود
• تحليل تدفق الأصول: تتبع الأصول الحرجة عبر النظام
• تحديد التهديدات: تحديد التهديدات المحتملة بشكل منهجي باستخدام منهجية STRIDE
• تخطيط التخفيف: تطوير استراتيجيات لمعالجة التهديدات المحددة
• إدارة الافتراضات: أدوات لإضافة وإدراج وتحديث وحذف الافتراضات في نموذج التهديدات
• مولد التهديدات: أدوات لإضافة وإدارة التهديدات في النموذج
• إدارة التخفيفات: أدوات لإدارة التخفيفات وربطها بالتهديدات
• دليل نموذج التهديدات: إرشادات خطوة بخطوة خلال عملية نمذجة التهديدات
• أنواع نماذج البيانات: أدوات لاستكشاف أنواع نماذج البيانات والتعدادات المتاحة

المتطلبات الأساسية

قبل تثبيت خادم MCP لنمذجة التهديدات، تأكد من توفر المتطلبات التالية:

متطلبات التثبيت

1. قم بتثبيت uvx من Astral أو من GitHub README
   • uvx جزء من مدير الحزم uv
   • تحقق من التثبيت: uvx --version

التثبيت

بمجرد تثبيت uvx والتأكد من عمله، أضف الإعدادات التالية إلى ملف التكوين mcp.json الخاص بك. اعتمادًا على نوع العميل الذي تستخدمه (kiro/cline/amazon-q) سيكون موقع هذا الملف mcp.json مختلفًا. بمجرد إضافة الإعداد وإعادة تشغيل IDE الخاص بك، سيتم تثبيت خادم MCP لنمذجة التهديدات تلقائيًا مباشرة من مستودع GitHub هذا باستخدام uvx.

ملاحظة: تمت إضافة الأدوات التي يستخدمها خادم MCP هذا لنمذجة التهديدات إلى autoApprove لسهولة تجربة المستخدم، مما يتيح التشغيل السلس دون مطالبات موافقة يدوية لكل استدعاء أداة. جميع الأدوات داخلية للخادم ولا تقوم باستدعاءات API خارجية. إذا كنت ترغب في مراجعة كل أداة والموافقة عليها لكل استدعاء، فستحتاج إلى استبدال مصفوفة autoApprove بهذا: "autoApprove": []

الإعداد

أضف ما يلي إلى تكوين عميل MCP الخاص بك: