थ्रेट मॉडलिंग MCP सर्वर

एक Model Context Protocol (MCP) सर्वर जो स्वचालित कोड सत्यापन के साथ व्यापक थ्रेट मॉडलिंग के लिए है।

विषय सूची

• अवलोकन
• त्वरित आरंभ प्रॉम्प्ट
• मुख्य विशेषताएँ
• पूर्वापेक्षाएँ
• स्थापना
• Kiro CLI के साथ चलाना
• आउटपुट फ़ाइल प्रबंधन
• त्वरित संदर्भ
• उपकरण अवलोकन
• थ्रेट मॉडलिंग पद्धति
• थ्रेट मॉडलिंग में धारणाएँ
• विकास
• रोडमैप

अवलोकन

यह सर्वर थ्रेट मॉडलिंग के लिए उपकरण प्रदान करता है, जिसमें व्यावसायिक संदर्भ विश्लेषण, आर्किटेक्चर विश्लेषण, थ्रेट अभिनेता विश्लेषण, विश्वास सीमा विश्लेषण, संपत्ति प्रवाह विश्लेषण, कोड सुरक्षा सत्यापन और व्यापक रिपोर्ट निर्माण शामिल है।

आर्किटेक्चर और दृष्टिकोण

यह MCP सर्वर किसी बाहरी API या नेटवर्क कॉल करने के बजाय मौजूदा एजेंट के LLM को कॉल करता है। यह मौजूदा क्लाइंट के LLM पर निर्भर करता है जो Amazon-Q, Kiro या Cline हो सकता है।

इस थ्रेट मॉडलिंग MCP सर्वर की तीन मुख्य कार्यक्षमताएँ हैं:

1. थ्रेट मॉडलिंग चरण या स्थिति प्रबंधन और प्रॉम्प्ट नियंत्रण।
2. प्रॉम्प्ट स्टीयरिंग, जो एजेंट को व्यावसायिक जोखिमों, जोखिमों, थ्रेट अभिनेताओं की अंतर्निहित परिभाषाओं का उपयोग करके और क्रमिक रूप से STRIDE का उपयोग करते हुए थ्रेट मॉडलिंग के लिए एक पद्धतिगत दृष्टिकोण से गुजरने के लिए नियंत्रित करता है।
3. प्रत्येक स्थिति या चरण पर डेटा सत्यापन, जो बदले में कार्रवाई योग्य थ्रेट मॉडल रिपोर्ट उत्पन्न करता है।

इसमें मार्कडाउन और JSON दोनों में निर्यात करने योग्य प्रारूपों में अंतिम रिपोर्ट तैयार करने के उपकरण भी हैं।

इस दृष्टिकोण के मुख्य लाभ

• यह थ्रेट मॉडल थ्रेट मॉडलिंग के लिए मानक STRIDE दृष्टिकोण का पालन करता है, चरणों में, न कि संपत्तियों, सीमाओं और खतरों के त्वरित निष्कर्ष के बजाय, जो मतिभ्रम या निम्न गुणवत्ता वाले आउटपुट का कारण बन सकता है।
• LLM द्वारा परियोजना के व्यावसायिक संदर्भ को समझने और मान्य धारणाएँ बनाने का प्रयास किया जाता है जिसे उपयोगकर्ता नियंत्रित कर सकता है।
• इस स्थानीय रूप से चलने वाले थ्रेट मॉडलिंग MCP सर्वर का उपयोग करने का मुख्य लाभ यह है कि यह क्लाइंट के मौजूदा LLM (Cline, Amazon-Q, Kiro) का लाभ उठाता है। कोई भी डेटा जो संसाधित या भेजा जाता है, वह क्लाइंट या अन्य MCP सर्वर तक सीमित है जिन्हें आपने स्थापित और आमंत्रित किया हो सकता है। यह सर्वर कॉलिंग क्लाइंट के LLM के अलावा किसी अन्य बाहरी API को कॉल नहीं करता है या आपके क्लाइंट द्वारा पहले से कॉन्फ़िगर किए गए उपयोग से अतिरिक्त बिलिंग या टोकन भेज या प्राप्त नहीं करता है।
• यह थ्रेट मॉडलिंग दृष्टिकोण आपके थ्रेट मॉडल को उसी रिपॉजिटरी में .threatmodel निर्देशिका के रूप में संग्रहीत करता है और आप अपने कोड, डिज़ाइन और आर्किटेक्चर के विकसित होने पर अपने थ्रेट मॉडल को विकसित कर सकते हैं।
• यह थ्रेट मॉडल दृष्टिकोण यदि कोड मौजूद है तो उसे देखता है और यदि कोड स्तर के नियंत्रणों में पहले से ही कम किए गए हैं तो खतरों को अपडेट करता है। एक बार जब आप अपना कोड ठीक कर लेते हैं तो आप थ्रेट मॉडल को फिर से चला सकते हैं और इसे थ्रेट मॉडल को जल्दी से अपडेट करने के लिए फिक्स को देखना चाहिए।

त्वरित आरंभ प्रॉम्प्ट और उदाहरण कि इस MCP सर्वर के साथ थ्रेट मॉडल कैसे करें

नोट: इन प्रॉम्प्ट का उपयोग करने से पहले, आपको MCP सर्वर सेट अप करने के लिए पहले स्थापना प्रक्रिया पूरी करनी होगी।

थ्रेट मॉडल प्रारंभ करें```

"Threat model this project using the threat modeling MCP Server"

थ्रेट मॉडलिंग MCP सर्वर का उपयोग करने के लिए प्रॉम्प्ट में विशिष्ट होना सुनिश्चित करेगा कि क्लाइंट (Cline/Kiro/etc) सटीक चरणों और पद्धति का पालन करेगा, न कि शॉर्टकट मार्ग अपनाकर परिणामों में भ्रम पैदा करेगा।

### किसी उपप्रोजेक्ट का खतरा मॉडल बनाएं या दायरे को किसी उप फ़ोल्डर तक सीमित करें```
"Threat model this subfolder using the threat modeling MCP Server"

उपफ़ोल्डर पर चलाने से खतरे के मॉडल और कोड का दायरा उस उपफ़ोल्डर तक सीमित हो जाएगा और परिणाम उपफ़ोल्डर के अंदर .threatmodel निर्देशिका के रूप में सहेजे जाएंगे।

खतरे के मॉडल का परिणाम सहेजें```

"Save the threat model report"

### खतरे के मॉडलिंग प्रक्रिया की पूर्णता को मान्य करें```
"Please complete all the phases in the threat model plan and then generate the final report."

इनपुट के रूप में एक आर्किटेक्चर आरेख छवि फीड करें```

"Threat model this project using the threat model MCP server and consider this architecture_image.png attached for this review"

### खतरों को कम करने का प्रयास करें```
"Can you see if you can implement mitigation controls in the code based on the threats reported in the threat model"

कोड सुधारों के आधार पर खतरा मॉडल को पुनर्जीवित करें```

"Can you updated the threat model based on the code fixes which mitigated the reported threats"

### अधिक उदाहरण```bash
# Set up context
"Set business context for an e-commerce payment system"

# Add architecture
"Add a web server component using AWS EC2"
"Add a database component using AWS RDS"

# Identify threats
"Add a threat where an attacker with network access performs SQL injection"

# Add mitigations
"Add a mitigation for input validation"

# Export results
"Export the threat model to my_model.json"

मुख्य विशेषताएँ

• व्यापक खतरा मॉडलिंग: सुरक्षा जोखिमों की पहचान, मूल्यांकन और समाधान के लिए संरचित दृष्टिकोण
• स्वचालित कोड सत्यापन: प्रोजेक्ट निर्देशिका में कोड का पता लगाता है और स्वचालित रूप से उसके विरुद्ध खतरा मॉडल को मान्य करता है
• व्यावसायिक संदर्भ विश्लेषण: सिस्टम के व्यावसायिक मूल्य और महत्वपूर्णता को समझें
• आर्किटेक्चर विश्लेषण: सिस्टम की तकनीकी वास्तुकला और डेटा प्रवाह का दस्तावेजीकरण करें
• खतरा अभिकर्ता विश्लेषण: संभावित विरोधियों की पहचान करें और उनकी क्षमताओं का आकलन करें
• विश्वास सीमा विश्लेषण: विश्वास क्षेत्रों की पहचान करें और सीमाओं पर सुरक्षा नियंत्रणों को मान्य करें
• संपत्ति प्रवाह विश्लेषण: सिस्टम के माध्यम से महत्वपूर्ण संपत्तियों को ट्रैक करें
• खतरा पहचान: STRIDE पद्धति का उपयोग करके संभावित खतरों की व्यवस्थित रूप से पहचान करें
• शमन योजना: पहचाने गए खतरों को संबोधित करने के लिए रणनीतियाँ विकसित करें
• धारणा प्रबंधन: खतरा मॉडल में धारणाओं को जोड़ने, सूचीबद्ध करने, अद्यतन करने और हटाने के उपकरण
• खतरा जनरेटर: मॉडल में खतरों को जोड़ने और प्रबंधित करने के उपकरण
• शमन प्रबंधन: शमन का प्रबंधन और उन्हें खतरों से जोड़ने के उपकरण
• खतरा मॉडल गाइड: खतरा मॉडलिंग प्रक्रिया में चरण-दर-चरण मार्गदर्शन
• डेटा मॉडल प्रकार: उपलब्ध डेटा मॉडल प्रकारों और गणनाओं का अन्वेषण करने के उपकरण

पूर्वापेक्षाएँ

Threat Modeling MCP Server स्थापित करने से पहले, सुनिश्चित करें कि आपके पास निम्नलिखित आवश्यकताएँ हैं:

स्थापना आवश्यकताएँ

1. Astral या GitHub README से uvx स्थापित करें
   • uvx uv पैकेज मैनेजर का हिस्सा है
   • स्थापना सत्यापित करें: uvx --version

स्थापना

एक बार जब आप uvx स्थापित कर लेते हैं और इसे कार्य करने के लिए सत्यापित कर लेते हैं, तो अपनी mcp.json कॉन्फ़िग फ़ाइल में नीचे दिया गया कॉन्फ़िगरेशन जोड़ें। आप किस प्रकार के क्लाइंट (kiro/cline/amazon-q) का उपयोग कर रहे हैं, इसके आधार पर इस mcp.json का स्थान भिन्न होगा। एक बार जब आप कॉन्फ़िग जोड़ते हैं और अपने IDE को पुनरारंभ करते हैं, तो Threat Modeling MCP Server स्वचालित रूप से इस GitHub रिपॉजिटरी से uvx का उपयोग करके स्थापित हो जाएगा।

नोट: इस mcp सर्वर द्वारा खतरा मॉडलिंग के लिए उपयोग किए जाने वाले उपकरण उपयोगकर्ता अनुभव की सुविधा के लिए पहले से ही autoApprove में जोड़ दिए गए हैं, जो प्रत्येक टूल कॉल के लिए मैन्युअल अनुमोदन संकेतों के बिना निर्बाध संचालन को सक्षम बनाता है। सभी उपकरण सर्वर के आंतरिक हैं और बाहरी API कॉल नहीं करते हैं। यदि आप प्रत्येक उपकरण की समीक्षा करना चाहते हैं और प्रति आह्वान इसे अनुमोदित करना चाहते हैं, तो आपको autoApprove ऐरे को इससे बदलना होगा: "autoApprove": []

कॉन्फ़िगरेशन

अपने MCP क्लाइंट कॉन्फ़िगरेशन में निम्नलिखित जोड़ें: