Security Scanner MCP

🚀 セキュリティスキャナーMCPサーバー

このツールは、コードリポジトリの包括的なセキュリティスキャンを行うためのツールで、MCP（Model Context Protocol）サーバーとして提供されます。開発者がコードベース内のセキュリティバグ、漏洩したシークレット、依存関係の問題、および設定上の問題を特定するのに役立ちます。

✨ 主な機能

• シークレット検出：公開されたAPIキー、パスワード、トークンなどの機密情報をスキャンします。
• 脆弱性分析：コード内の一般的なセキュリティ脆弱性を特定します。
• 依存関係監査：古いまたは脆弱な依存関係をチェックします。
• Gitセキュリティ：.gitignoreファイルとgit履歴を分析してセキュリティ問題を検出します。
• リアルタイムスキャン：コミット前にコンテンツ内のシークレットをチェックします。
• セキュリティベストプラクティス：実行可能なセキュリティの推奨事項を提供します。

📦 インストール

npm install -g @rupeshpanwar/security-scanner-mcp

または、npxを使用することもできます。

npx @rupeshpanwar/security-scanner-mcp

💻 使用例

CLIの使用方法（v1.1.0で追加）

このパッケージには、コマンドラインから直接スキャンするためのスタンドアロンCLIツールが含まれています。

# ディレクトリをスキャンして要約出力を表示する
security-scan scan /path/to/project

# 詳細出力でスキャンする
security-scan scan /path/to/project --format detailed

# 特定のカテゴリをスキャンする
security-scan scan /path/to/project --categories secrets vulnerabilities

# JSON形式で出力する
security-scan scan /path/to/project --format json

# レポートをファイルに保存する
security-scan scan /path/to/project --format detailed > security-report.txt

CLIオプション:

• --format <format>: 出力形式 (summary|detailed|json)、デフォルト: summary
• --categories <categories...>: スキャンする特定のカテゴリ (secrets|vulnerabilities|dependencies|gitignore|git-history)、デフォルト: all

Claude Desktopでの使用方法

Claude Desktopの設定にサーバーを追加します。

macOS

~/Library/Application Support/Claude/claude_desktop_config.jsonを編集します。

{
  "mcpServers": {
    "security-scanner": {
      "command": "npx",
      "args": ["@rupeshpanwar/security-scanner-mcp"]
    }
  }
}

Windows

%APPDATA%\Claude\claude_desktop_config.jsonを編集します。

{
  "mcpServers": {
    "security-scanner": {
      "command": "npx",
      "args": ["@rupeshpanwar/security-scanner-mcp"]
    }
  }
}

利用可能なツール

1. scan_repository

リポジトリに対して包括的なセキュリティスキャンを実行します。

パラメータ:

• path (必須): スキャンするリポジトリのパス
• outputFormat (任意): 出力形式 - "summary", "detailed", または "json" (デフォルト: "summary")
• categories (任意): スキャンする特定のカテゴリ (デフォルト: すべて)
  • "secrets": APIキー、パスワード、トークン
  • "vulnerabilities": コードの脆弱性
  • "dependencies": 依存関係の問題
  • "gitignore": .gitignoreの分析
  • "git-history": Git履歴のスキャン

例:

/path/to/repoのリポジトリに対してすべてのセキュリティ問題をスキャンする

2. check_secret

コンテンツに潜在的なシークレットまたは機密情報が含まれているかどうかをチェックします。

パラメータ:

• content (必須): シークレットをチェックするコンテンツ
• fileType (任意): コンテキスト認識スキャンのためのファイルタイプ/拡張子

例:

このコンテンツにシークレットが含まれているかチェックする: AWS_ACCESS_KEY=AKIA1234567890ABCDEF

3. check_gitignore

.gitignoreファイルに欠けているセキュリティパターンを分析します。

パラメータ:

• path (必須): リポジトリのパス
• patterns (任意): チェックする追加のパターン

例:

/path/to/repoの.gitignoreにすべての推奨セキュリティパターンが含まれているかチェックする

4. get_security_tips

特定のトピックに関するセキュリティのベストプラクティスとヒントを取得します。

パラメータ:

• topic (必須): セキュリティトピック
  • "secrets": シークレット管理のベストプラクティス
  • "gitignore": .gitignoreの推奨事項
  • "dependencies": 依存関係のセキュリティ
  • "docker": Dockerのセキュリティ
  • "ci-cd": CI/CDのセキュリティ
  • "general": 一般的なセキュリティヒント

例:

シークレット管理に関するセキュリティヒントを教えてください

検出されるセキュリティパターン

シークレット

• AWSアクセスキーとシークレットキー
• APIキー（OpenAI、Google、GitHubなど）
• 秘密鍵（SSH、SSL証明書）
• データベース接続文字列
• OAuthトークン
• JWTトークン
• その他多数...

脆弱性

• SQLインジェクションのリスク
• コマンドインジェクションのリスク
• ハードコードされたIPアドレスと資格情報
• 弱い暗号化の使用
• 不安全な逆シリアル化
• 本番環境でのデバッグコード
• 不安全な乱数生成

設定上の問題

• 欠けている.gitignoreパターン
• 公開された設定ファイル
• 一時ファイルの使用
• TLSなしのHTTP

サンプルワークフロー

1. 初期リポジトリスキャン

./my-projectのリポジトリをスキャンし、詳細レポートを表示する

2. コミット前のコードチェック

この設定ファイルにシークレットが含まれているかチェックする:
[設定内容を貼り付ける]

3. .gitignoreの問題の修正

.gitignoreファイルをチェックし、欠けているセキュリティパターンを教えてください

4. セキュリティ推奨事項の取得

コードベース内のシークレット管理に関するベストプラクティスを教えてください

出力形式

要約形式

深刻度レベル別の問題数を示す迅速な概要です。

詳細形式

すべての検出結果の完全なリストで、以下の情報が含まれます。

• 問題の説明
• ファイルの場所と行番号
• 深刻度レベル
• 修復の推奨事項

JSON形式

他のツールとの統合に使用するための機械可読形式です。

ベストプラクティス

1. 定期的なスキャンを実行する：CI/CDパイプラインに組み込みます。
2. 重大な問題を最初に修正する：高および重大な深刻度の検出結果をすぐに対処します。
3. .gitignoreを更新する：すべての機密ファイルパターンが除外されていることを確認します。
4. 漏洩したシークレットをローテートする：シークレットが検出された場合は、すぐにローテートします。
5. 依存関係を最新に保つ：定期的な依存関係の更新により、脆弱性を減らします。

コントリビューション

コントリビューションは大歓迎です！プルリクエストを送信してください。

📄 ライセンス

MIT

謝辞

このツールは、本番コード内で漏洩した資格情報を発見した後に作成されました。開発者が事前にスキャンし、セキュリティのベストプラクティスについて学ぶことで、同様のセキュリティインシデントを防ぐのを支援することを目的としています。