Cybermcp (API Security Testing)

🚀 ネットワークセキュリティ API テストにおける MCP プロトコル - CyberMCP

CyberMCP は、Model Context Protocol (MCP) に基づくサーバーで、バックエンド API のセキュリティホールをテストするために設計されています。大型言語モデル（LLMs）が API 内の一般的なセキュリティ問題を識別するために使用できる一連の専門的なツールとリソースを提供します。

✨ 主な機能

• 認証ホールテスト：JWT ホール、認証回避、脆弱な認証メカニズムのチェック
• インジェクションテスト：SQL インジェクション、XSS、その他のインジェクション型ホールのテスト
• データ漏洩テスト：機密データの暴露問題の識別
• レート制限テスト：レート制限回避と DDoS ホールのテスト
• セキュリティヘッダーテスト：欠落または誤設定されたセキュリティヘッダーのチェック
• 包括的なリソース：API セキュリティテストのチェックリストとガイドへのアクセス
• 認証サポート：保護されたエンドポイントのテストに使用する複数の認証方法

📚 プロジェクト構造

CyberMCP/
├── src/
│   ├── tools/           # セキュリティテストに使用する MCP ツール
│   ├── resources/       # MCP リソース（チェックリスト、ガイド）
│   ├── transports/      # カスタムトランスポート実装
│   ├── utils/           # ユーティリティ関数と認証管理
│   └── index.ts         # エントリーファイル
├── package.json         # 依存関係とスクリプト
├── tsconfig.json        # TypeScript 設定
└── README.md            # このファイル

📦 インストール

1. リポジトリをクローンします：

   git clone https://github.com/your-username/CyberMCP.git
   cd CyberMCP
   

2. 依存関係をインストールします：

   npm install
   

3. プロジェクトをビルドします：

   npm run build
   

💻 使用例

MCP サーバーの起動

標準入出力トランスポート（デフォルト）または HTTP トランスポートを使用してサーバーを起動できます。

標準入出力トランスポートを使用する（LLM プラットフォームとの統合に適しています）：

npm start

HTTP トランスポートを使用する：

npm run dev

設定ファイル

プロジェクトのルートディレクトリに config.json ファイルを作成し、以下の内容を記述します。

{
  "server": {
    "port": 3000,
    "host": "localhost"
  },
  "tools": {
    "enableDebug": true,
    "logLevel": "info"
  }
}

セキュリティツール

認証設定例

JWT 設定

{
  "auth": {
    "type": "jwt",
    "secret": "your-secret-key",
    "issuer": "your-issuer",
    "audience": "your-audience"
  }
}

OAuth 設定

{
  "auth": {
    "type": "oauth2",
    "clientID": "your-client-id",
    "clientSecret": "your-client-secret",
    "tokenURL": "https://example.com/oauth/token",
    "redirectURI": "http://localhost:3000/callback"
  }
}

リソース

チェックリスト

• 認証：すべての API エンドポイントが適切な認証と承認を必要とするかチェックします。
• 入力検証：すべてのユーザー入力が厳密な形式と型チェックを受けることを確認します。
• エラー処理：API が無効なパラメータやデータベース障害などのさまざまな異常な状況を適切に処理するかテストします。

ガイド

1. ログ記録：API の動作を監視し、潜在的なセキュリティ問題を早期に発見するために、詳細なログ記録を有効にします。
2. 定期的な監査：API が最新のセキュリティ標準とベストプラクティスに準拠していることを確認するために、定期的にセキュリティ監査を行います。
3. テストスイート：Postman や Swagger などの自動化テストツールを使用して、すべての重要な機能と境界条件をカバーする包括的なテストスイートを作成します。

📄 ライセンス

MIT