Cognitive Dast Automation

🚀 認知的DASTテスト自動化

MCPを介してGoogle Gemini AIによる認知分析を搭載したOWASP ZAPプロキシを使用した自動化動的アプリケーションセキュリティテスト（DAST）です。

✨ 主な機能

• 自動化DASTスキャン：OWASP ZAPプロキシとの完全統合
• 認知分析：Geminiを使用したAIによるセキュリティ調査結果の分析
• MCPサーバー：AIツール統合のためのモデルコンテキストプロトコルの実装
• CLIインターフェイス：スキャンの実行と管理のためのコマンドラインツール
• リスクスコアリング：自動化されたリスク評価と優先順位付け
• 複数形式：CI/CDおよび業界標準レポート用のJSONおよびSARIF出力
• SARIFサポート：GitHub Security、Defender for Cloud、SonarQubeと互換性があります

🚀 クイックスタート

1. 依存関係のインストール

pip install -r requirements.txt

2. 環境の設定

cp config/.env.example .env
# .envをAPIキーで編集してください

3. OWASP ZAPの起動

# Docker
docker run -p 8080:8080 owasp/zap2docker-stable zap.sh -config api.disablekey=true

# またはローカルインストール
zaproxy -config api.disablekey=true

4. スキャンの実行

python -m mcp_dast.cli.main scan \
  --target http://example.com \
  --gemini-key YOUR_GEMINI_KEY \
  --output results.json \
  --format json

📦 インストール

依存関係

• Python 3.9+
• OWASP ZAP 2.12+
• Google Gemini APIキー（無料枠あり）
• 必要なパッケージ: requirements.txtを参照

💻 使用例

基本的なスキャン（JSON出力）

python -m mcp_dast.cli.main scan --target http://target.com --gemini-key $GEMINI_KEY --output results.json

SARIF出力（GitHub Actions互換）

python -m mcp_dast.cli.main scan --target http://target.com --gemini-key $GEMINI_KEY --output results.sarif --format sarif

スキャンステータスの確認

python -m mcp_dast.cli.main status --scan-id abc123

カスタム設定を使用する場合

python -m mcp_dast.cli.main scan \
  --target http://target.com \
  --zap-host 192.168.1.100 \
  --zap-port 8080 \
  --gemini-key $GEMINI_KEY \
  --output scan-results.json \
  --format json

📚 ドキュメント

コンポーネント

MCP DASTサーバー

• モデルコンテキストプロトコルを実装したコアサーバー
• ZAPスキャンとGemini分析を調整します
• 非ブロッキング操作のためのAsync/awaitサポート

ZAP統合

• OWASP ZAPプロキシクライアント
• APIベースのスキャン自動化
• アラートの集約と分類

Gemini AIアナライザー

• セキュリティ調査結果の分析
• 脆弱性の認知評価
• 修復推奨事項
• ビジネスへの影響分析

CLIツール

• scan: 完全なDAST評価を実行
• status: スキャンの進行状況を確認
• configure: 設定をセットアップ

アーキテクチャ

システムは、関心事の明確な分離を持つ4層の階層型アーキテクチャを実装しています。

┌─────────────────────────────────────────┐
│   プレゼンテーション層 (CLIインターフェイス)    │
│   ユーザーコマンドと対話ポイント     │
└─────────────────────────────────────────┘
                    ↓
┌─────────────────────────────────────────┐
│ アプリケーション層 (オーケストレーション)       │
│ スキャン、分析、レポートのオーケストレーション │
└─────────────────────────────────────────┘
                    ↓
┌─────────────────────────────────────────┐
│ 統合層 (アダプター)            │
│ ZAP、Gemini、出力形式          │
└─────────────────────────────────────────┘
                    ↓
┌─────────────────────────────────────────┐
│ インフラストラクチャ層 (ストレージ)          │
│ 設定、キャッシュ、永続的ストレージ       │
└─────────────────────────────────────────┘

アーキテクチャ図: reference-architecture.pumlから始めて、以下を探索してください。

• system-architecture.puml - コンポーネントの概要
• component-interaction.puml - 詳細な相互作用
• scan-sequence.puml - 実行フロー
• data-flow.puml - データ変換
• class-diagram.puml - OOP設計
• deployment.puml - インフラストラクチャ
• workflow.puml - プロセスフロー

MCP DASTサーバー
├── ZAPクライアント (OWASPプロキシ)
│   └── スキャン管理とアラート収集
├── Geminiアナライザー (AI分析)
│   └── 認知評価と推奨事項
└── CLIインターフェイス
    └── ユーザー向けコマンド

出力形式

JSON形式

結果には以下が含まれます。

• 生のZAPスキャン結果（アラート、リスクレベル）
• Gemini AIによる認知分析
• リスクスコアと深刻度評価
• 修復優先順位
• 推奨アクション

SARIF形式

業界標準の形式（OWASP/SARIF 2.1.0）です。

• GitHub Security Code Scanningと互換性があります
• Microsoft Defender for Cloudと互換性があります
• SonarQubeなどの他のツールと互換性があります
• 完全な脆弱性メタデータと修復ガイダンス

詳細な形式情報については、OUTPUT_FORMATS.mdを参照してください。

{
  "scan_id": "12345",
  "target_url": "http://example.com",
  "raw_results": {
    "high_alerts": 2,
    "medium_alerts": 5,
    "low_alerts": 8
  },
  "cognitive_analysis": {
    "risk_score": 72.5,
    "severity_assessment": "High",
    "remediation_priority": [...],
    "recommended_actions": [...]
  }
}

設定

ZAP設定

• ZAP_HOST: プロキシホスト（デフォルト: localhost）
• ZAP_PORT: プロキシポート（デフォルト: 8080）
• ZAP_API_KEY: オプションのAPIキー
• ZAP_TIMEOUT: リクエストタイムアウト

Gemini設定

• GEMINI_API_KEY: あなたのGoogle Gemini APIキー
• GEMINI_MODEL: モデル選択（デフォルト: gemini-1.5-flash）

開発

プロジェクト構造

├── src/mcp_dast/
│   ├── zap/           # OWASP ZAP統合
│   ├── gemini/        # Gemini AIアナライザー
│   ├── cli/           # CLIインターフェイス
│   └── server.py      # MCPサーバー
├── tests/             # テストスイート
├── config/            # 設定ファイル
├── docs/              # ドキュメント
└── pyproject.toml     # Poetry設定

ローカルでの実行

# 開発モードでインストール
pip install -e .

# テストの実行
pytest

# コードのフォーマット
black src/

# リント
ruff check src/

セキュリティ上の考慮事項

• APIキーをバージョン管理システムにコミットしないでください
• 機密設定には環境変数を使用してください
• すべての入力を検証し、サニタイズしてください
• ZAPと依存関係を最新の状態に保ってください

🔧 技術詳細

システムは、モデルコンテキストプロトコル（MCP）を使用して、OWASP ZAPによる動的アプリケーションセキュリティテスト（DAST）を自動化し、Google Gemini AIを使用してセキュリティ調査結果の認知分析を行います。MCP DASTサーバーは、ZAPスキャンとGemini分析をオーケストレートし、非ブロッキング操作をサポートします。ZAP統合は、APIベースのスキャン自動化とアラート集約を提供します。Gemini AIアナライザーは、セキュリティ調査結果を分析し、脆弱性の認知評価と修復推奨事項を提供します。CLIインターフェイスは、ユーザーがスキャンを実行し、ステータスを確認し、設定を構成できるようにします。

📄 ライセンス

MIT

サポート

問題や機能リクエストについては、プロジェクトリポジトリにissueを作成してください。