थ्रेट मॉडलिंग एमसीपी सर्वर

निर्देशित कोड सत्यापन के साथ व्यापक थ्रेट मॉडलिंग के लिए एक मॉडल कॉन्टेक्स्ट प्रोटोकॉल (MCP) सर्वर।

विषय-सूची

• अवलोकन
• त्वरित प्रारंभ प्रॉम्प्ट
• मुख्य विशेषताएँ
• पूर्व-आवश्यकताएँ
• स्थापना
• किरो सीएलआई के साथ चलाना
• आउटपुट फ़ाइल प्रबंधन
• त्वरित संदर्भ
• उपकरणों का अवलोकन
• थ्रेट मॉडलिंग कार्यप्रणाली
• थ्रेट मॉडलिंग में धारणाएँ
• विकास

अवलोकन

यह सर्वर थ्रेट मॉडलिंग के लिए उपकरण प्रदान करता है, जिसमें व्यावसायिक संदर्भ विश्लेषण, वास्तुकला विश्लेषण, थ्रेट एक्टर विश्लेषण, ट्रस्ट बाउंड्री विश्लेषण, एसेट फ्लो विश्लेषण, कोड सुरक्षा सत्यापन और व्यापक रिपोर्ट जनरेशन शामिल हैं।

वास्तुकला और दृष्टिकोण

यह एमसीपी सर्वर किसी भिन्न सेवा के लिए बाहरी एपीआई या नेटवर्क कॉल करने के बजाय मौजूदा एजेंट के एलएलएम को कॉल करता है। यह मौजूदा क्लाइंट के एलएलएम पर निर्भर करता है जो Amazon-Q, Kiro या Cline हो सकता है।

इस थ्रेट मॉडलिंग एमसीपी सर्वर में तीन मुख्य कार्यक्षमताएँ हैं:

1. थ्रेट मॉडलिंग चरण या स्थिति प्रबंधन और प्रॉम्प्ट नियंत्रण।
2. प्रॉम्प्ट स्टीयरिंग, जो एजेंट को व्यावसायिक जोखिमों, एक्सपोज़र, थ्रेट एक्टर्स की अंतर्निहित परिभाषाओं का उपयोग करके और STRIDE का क्रमिक क्रम में उपयोग करके थ्रेट मॉडलिंग के लिए एक व्यवस्थित दृष्टिकोण से गुजरने के लिए नियंत्रित करता है।
3. संरचित इनपुट सत्यापन और चरण-पूर्णता जाँच जो एक कार्रवाई योग्य थ्रेट मॉडल रिपोर्ट का समर्थन करती हैं।

इसमें Markdown और JSON दोनों निर्यात योग्य प्रारूपों में एक अंतिम रिपोर्ट बनाने के लिए उपकरण भी हैं।

इस दृष्टिकोण के मुख्य लाभ

• यह थ्रेट मॉडल परिसंपत्तियों, सीमाओं और खतरों के त्वरित निष्कर्ष के बजाय चरणों में थ्रेट मॉडलिंग के लिए मानक STRIDE दृष्टिकोण का पालन करता है, जिससे मतिभ्रम या निम्न गुणवत्ता वाले आउटपुट हो सकते हैं।
• परियोजना के व्यावसायिक संदर्भ को समझने और वैध धारणाएँ बनाने के लिए एलएलएम द्वारा एक प्रयास किया जाता है जिसे उपयोगकर्ता द्वारा नियंत्रित किया जा सकता है।
• यह स्थानीय सर्वर एक अलग मॉडल एपीआई को कॉल करने के बजाय एमसीपी क्लाइंट के कॉन्फ़िगर किए गए एलएलएम (Cline, Amazon Q, Kiro) पर निर्भर करता है। डेटा एक्सपोज़र क्लाइंट और क्लाइंट द्वारा इनवोक किए गए किसी भी अन्य एमसीपी सर्वर पर निर्भर करता है।
• सर्वर वर्तमान प्रक्रिया के लिए कार्यशील थ्रेट मॉडल को मेमोरी में रखता है। निर्यात उपकरण JSON और Markdown स्नैपशॉट को .threatmodel निर्देशिका में लिख सकते हैं, लेकिन वे स्नैपशॉट बाद के सत्र में स्वचालित रूप से लोड नहीं होते हैं।
• कोड-सत्यापन उपकरण क्लाइंट द्वारा कार्यान्वयन का निरीक्षण करने के बाद प्रदान किए गए साक्ष्य को रिकॉर्ड करता है, स्थिति संक्रमणों को परमाणु रूप से लागू करता है, और चरण को तब तक बंद रखता है जब तक कि हर वर्तमान खतरे और शमन को कवर नहीं किया जाता है।

इस एमसीपी सर्वर के साथ थ्रेट मॉडल कैसे करें, इस पर त्वरित प्रारंभ प्रॉम्प्ट और उदाहरण

नोट: इन प्रॉम्प्ट का उपयोग करने से पहले, आपको एमसीपी सर्वर स्थापित करने के लिए पहले स्थापना प्रक्रिया पूरी करनी होगी।

एक थ्रेट मॉडल प्रारंभ करें

"Threat model this project using the threat modeling MCP Server"

थ्रेट मॉडलिंग एमसीपी सर्वर का उपयोग करने के लिए प्रॉम्प्ट में विशिष्ट होने से यह सुनिश्चित होगा कि क्लाइंट (Cline/Kiro/etc) परिणामों में मतिभ्रम को कम करने के लिए शॉर्ट कट पथ लेने के बजाय सटीक चरणों और कार्यप्रणाली का पालन करेगा।

एक सबप्रोजेक्ट का थ्रेट मॉडल करें या दायरे को एक सबफ़ोल्डर तक सीमित करें

"Threat model this subfolder using the threat modeling MCP Server"

इसे एक सबफ़ोल्डर पर चलाने से इच्छित विश्लेषण का दायरा सीमित हो जाता है। वहां निर्यात सहेजने के लिए, उस सबफ़ोल्डर के अंदर एक आउटपुट पथ का अनुरोध करें; निर्यात स्थान स्वचालित रूप से विश्लेषण के दायरे से अनुमानित नहीं होता है।

थ्रेट मॉडल का परिणाम सहेजें

"Save the threat model report"

थ्रेट मॉडलिंग प्रक्रिया की पूर्णता को मान्य करें

"Please complete all the phases in the threat model plan and then generate the final report."

इनपुट के रूप में एक आर्किटेक्चर डायग्राम इमेज फ़ीड करें

"Threat model this project using the threat model MCP server and consider this architecture_image.png attached for this review"

खतरों को ठीक करने का प्रयास करें

"Can you see if you can implement mitigation controls in the code based on the threats reported in the threat model"

कोड फिक्स के आधार पर थ्रेट मॉडल को पुनर्जीवित करें

"Can you updated the threat model based on the code fixes which mitigated the reported threats"

अधिक उदाहरण

# Set up context
"Set business context for an e-commerce payment system"

# Add architecture
"Add a web server component using AWS EC2"
"Add a database component using AWS RDS"

# Identify threats
"Add a threat where an attacker with network access performs SQL injection"

# Add mitigations
"Add a mitigation for input validation"

# Export results
"Export the threat model to my_model.tc.json"

मुख्य विशेषताएँ

• व्यापक थ्रेट मॉडलिंग: सुरक्षा जोखिमों की पहचान, मूल्यांकन और समाधान के लिए संरचित दृष्टिकोण
• साक्ष्य-आधारित कोड सत्यापन: कार्यान्वयन साक्ष्य रिकॉर्ड करता है, स्थितियों को अपडेट करता है, और एक नियतात्मक रिपोर्ट तैयार करता है
• व्यावसायिक संदर्भ विश्लेषण: सिस्टम के व्यावसायिक मूल्य और गंभीरता को समझें
• वास्तुकला विश्लेषण: सिस्टम की तकनीकी वास्तुकला और डेटा प्रवाह का दस्तावेजीकरण करें
• थ्रेट एक्टर विश्लेषण: संभावित विरोधियों की पहचान करें और उनकी क्षमताओं का आकलन करें
• ट्रस्ट बाउंड्री विश्लेषण: ट्रस्ट ज़ोन की पहचान करें और सीमाओं पर सुरक्षा नियंत्रणों को मान्य करें
• एसेट फ्लो विश्लेषण: सिस्टम के माध्यम से महत्वपूर्ण परिसंपत्तियों को ट्रैक करें
• खतरे की पहचान: STRIDE कार्यप्रणाली का उपयोग करके संभावित खतरों की व्यवस्थित रूप से पहचान करें
• शमन योजना: पहचाने गए खतरों को दूर करने के लिए रणनीतियाँ विकसित करें
• कॉम्पैक्ट डोमेन प्रबंधक: धारणाओं, वास्तुकला, एक्टर्स, सीमाओं, परिसंपत्तियों, खतरों और शमन के लिए कार्रवाई-आधारित उपकरण
• थ्रेट मॉडल गाइड: थ्रेट मॉडलिंग प्रक्रिया के माध्यम से चरण-दर-चरण मार्गदर्शन
• डेटा मॉडल निरीक्षण: एनम मॉडल को सूचीबद्ध करने और स्वीकृत मानों का निरीक्षण करने के लिए एक उपकरण

पूर्व-आवश्यकताएँ

थ्रेट मॉडलिंग एमसीपी सर्वर स्थापित करने से पहले, सुनिश्चित करें कि आपके पास निम्नलिखित आवश्यकताएँ हैं:

स्थापना आवश्यकताएँ

1. Astral या GitHub README से uvx स्थापित करें
   • uvx, uv पैकेज मैनेजर का हिस्सा है
   • स्थापना सत्यापित करें: uvx --version

स्थापना

एक बार जब आपके पास uvx स्थापित हो जाता है और काम करने के लिए सत्यापित हो जाता है, तो नीचे दिए गए कॉन्फ़िगरेशन को अपनी mcp.json कॉन्फ़िग फ़ाइल में जोड़ें। आप किस प्रकार के क्लाइंट का उपयोग कर रहे हैं (kiro/cline/amazon-q) के आधार पर इस mcp.json का स्थान भिन्न होगा। एक बार जब आप कॉन्फ़िग जोड़ते हैं और अपने IDE को पुनरारंभ करते हैं, तो थ्रेट मॉडलिंग एमसीपी सर्वर को uvx का उपयोग करके सीधे इस GitHub रिपॉजिटरी से स्वचालित रूप से स्थापित किया जाएगा।

नोट: उपयोगकर्ता अनुभव की आसानी के लिए इस एमसीपी सर्वर द्वारा थ्रेट मॉडलिंग के लिए उपयोग किए जाने वाले उपकरण पहले ही autoApprove में जोड़ दिए गए हैं, जो प्रत्येक उपकरण कॉल के लिए मैन्युअल अनुमोदन प्रॉम्प्ट के बिना सहज संचालन को सक्षम बनाता है। सभी उपकरण सर्वर के आंतरिक हैं और बाहरी एपीआई कॉल नहीं करते हैं। यदि आप प्रत्येक उपकरण की समीक्षा करना चाहते हैं और इसे प्रति इनवोकेशन अनुमोदित करना चाहते हैं, तो आपको autoApprove सरणी को इससे बदलना होगा: "autoApprove": []

कॉन्फ़िगरेशन

अपने एमसीपी क्लाइंट कॉन्फ़िगरेशन में निम्नलिखित जोड़ें: