Skip to main content

Contrast MCPサーバ

Contrast MCP サーバー は、Contrastの脆弱性データとインテグレーションされた開発環境（IDE）ベースのAIエージェントとの間の橋渡しです。この橋渡しにより、エージェントは脆弱なコードを特定し、IDE内から修正することができます。脆弱性データ自体に加えて、ContrastはAIエージェントに修復ガイダンスを提供します。これにより、AIエージェントは最初から正確に修正を行うために必要な全ての情報を持つことが保証されます。

法的免責事項

ContrastのMCPサーバーをご利用の場合、入力された情報に応じて、その情報がLLMに送信されます。LLMへのデータの送信とLLMによって生成される出力は、各LLMの利用規約に準拠します。ContrastのMCPサーバーのご利用は、すべてお客様の責任において行ってください。

Contrast MCP サーバー利点

AIコーディングエージェントを使用することで、開発者はContrastが検出する脆弱性を迅速かつ正確に修復することができます。Contrast MCP サーバーこれは主な使用例の一つですが、MCPテクノロジの柔軟な性質により、Contrastデータを使用してAIエージェントにほぼ何でも依頼することができます。例えば、次のことを依頼することができます：

  • ライブラリ使用状況データに基づいて、アプリケーション内の脆弱なライブラリを優先して修正完了します。

  • 新たに報告済の高重要度の脆弱性の影響度をアプリケーション全体で迅速にAssessしてください。

  • 実行時のクラス使用状況データを使用して、未使用のライブラリを迅速に特定及び削除します。

  • Triage active attacks and open security incidents, and trace the issues and observations behind them

  • 及びその他...

データ開始Contrast MCP サーバー

このContrast MCP サーバーは、MCPクライアント及び拡張としてLLMに、Contrastからの脆弱性データへのアクセスを提供します。アクセス可能なデータの例は以下の通りです:

Vulnerabilities (Assess)

  • Vulnerability type (for example, SQL injection, unsafe deserialization, or command injection)

  • Exact location in the code

  • The HTTP endpoint and HTTP request that triggered the vulnerability detection

  • Data flow through the application

  • User-controlled data that entered the vulnerable sink

  • Detailed instructions on how to fix the vulnerability

With this information, the coding agent that you prompt and guide can quickly and accurately remediate identified vulnerabilities.

Attacks (ADR/Protect)

  • Attack status (for example, exploited, blocked, or probed) and category

  • The rule or attack type that triggered detection (for example, SQL injection, XSS)

  • Source IP, application, and server involved in the attack

  • Protection rules configured for an application, so you can see what is actively defending it

Applications and servers

  • Applications filtered by tag or metadata

  • Session metadata available for an application

  • Server inventory, including agent version, environment, and Protect coverage

Libraries (SCA)

  • Libraries used by an application, with class usage statistics (zero usage means a library is likely not exploitable)

  • Vulnerability counts per library

  • Applications affected by a specific CVE

Coverage

  • Route coverage, showing exercised routes versus discovered routes for an application

Scans (SAST)

  • SAST project details and vulnerability counts

  • Raw SARIF scan results (local MCP server only)

Security issues and incidents

In addition to CVE Shield, the hosted MCP server provides tools for exploring security issues, incidents, and observations from the unified data platform in Northstar. These tools are available only on the hosted MCP server and require Northstar to be enabled for your organization.

Search and filter security issues

Search issues across your organization

search_issues

Get full issue details

See everything known about a specific issue

get_issue

See which incidents an issue belongs to

List incidents linked to an issue

list_issue_incidents

See which incidents an issue belongs to

List incidents linked to an issue

list_issue_incidents

Search and filter incidents

Search incidents across your organization

search_incidents

Get full incident details

See everything known about a specific incident

get_incident

See which issues an incident includes

List issues linked to an incident

list_incident_issues

Get full observation details

See the evidence behind a specific observation

get_observation

See the evidence behind an issue

List observations linked to an issue

list_issue_observations

See the evidence behind an incident

List observations linked to an incident

list_incident_observations

CVE Shield tools

Contrast MCP server tools also cover CVE Shield, the virtual patching layer that blocks exploitation of known CVEs at runtime. These three tools are available on the hosted MCP server only and require the NorthstarNorthstar unified data platform to be enabled for your organization:

Find CVEs across your organization

Filter by CVE ID, severity, CVSS score range, or affected application

search_cves

See which applications a CVE affects

Get the list of issues and corresponding applications impacted by a specific CVE and the status of each resulting issue

list_cve_issues

Get a full impact assessment for a CVE

See which applications are affected, which libraries carry the vulnerability, and whether CVE Shield is actively protecting each application. Coverage gaps are flagged automatically, so if an application has a vulnerable library but no active protection, your agent will tell you.

get_cve_impact

Contrast MCP サーバーインストール及び使用中

MCPサーバをインストール及び使用するには、GitHubのContrast Security用MCPサーバに移動してください。

開発環境向けのサンプルプロンプト

  • コードの脆弱性を修復

    • アプリケーションYの件の脆弱性をリストします。

    • アプリケーションYの脆弱性Xに関する詳細を教えてください。

    • 脆弱性Xをレビュー及び修正完了してください。

  • サードパーティのライブラリの脆弱性を修復する

    • アプリケーションXで高または重大な脆弱性があり、かつアクティブに使用中のライブラリはどれですか。

    • アプリケーションXで使用中ではないライブラリはどれですか？

    • 重大な脆弱性を持つライブラリXを安全なバージョンに更新してください。

  • タグに基づいてアプリケーションを取得

    • バックエンドタグを持つアプリケーションを教えてください。

  • メタデータに基づいてアプリケーションを取得中

    • メタデータ: 開発チーム及びバックエンドチームが適用されたアプリケーションを教えてください。

  • セッションメタデータに基づく脆弱性の取得

    • アプリケーションXのセッションメタデータを教えてください。

    • アプリケーションXの最新セッションにおける件の脆弱性を教えてください。

    • アプリケーションXのセッションメタデータ及びブランチ名前及び機能の件の脆弱性を教えてください。

    • アプリケーションXの最新セッションのルートカバレッジを教えてください。

    • アプリケーションXのセッションメタデータルートカバレッジ及び機能のブランチ名前を教えてください。

    • Give me the impact assessment for CVE-xxxx-xxxx, including any apps where CVE Shield is not covering a vulnerable library

  • Reviewing attack activity

    • Which vulnerabilities in Application X are being blocked by a Protect or ADR rule?

  • Reviewing scan results

    • Give me the SAST scan results for Application X

    • How many vulnerabilities does the latest scan project for Application X have?

セキュリティチームのためのサンプルプロンプト

  • CVE-xxxx-xxxxに脆弱なアプリケーション及びサーバの内訳を教えてください。

  • アプリケーションXのライブラリを一覧にし、commons-collectionsのバージョンを教えてください。

  • アプリケーションXでADRまたはProtectルールによってブロックされている脆弱性はどれですか？

  • Which production servers do not have Protect enabled?

  • Show me servers whose agents are out of date

  • Show me attack events from the last 7 days and tell me which were exploited

  • Show me open security issues for Application X

  • Give me the details of incident X and the issues linked to it

  • What observations provide evidence for issue X?

Connect an AI agent to Contrast

The ContrastContrast MCP server gives AI coding agents access to your Contrast security data, including vulnerabilities, libraries, routes, and attack activity. Two connection options are available depending on your deployment.

Hosted MCP server

ContrastContrast runs this for you as a remote endpoint. You connect to it with OAuth, so there is nothing to install or maintain and no API keys to manage. This is the right choice for SaaS customers.

Local MCP server

You run this yourself as a local process. This is the right choice for enterprise on-premises (EOP) deployments or when you need to work with raw SARIF output.

Available tools by server: Most tools are available on both the hosted and local MCP servers. A few are specific to one:

  • Local server only: get_scan_results for raw SARIF scan output

  • Hosted server only: Sign-in identity lookup and the full set of issue, incident, observation, and CVE Shield tools (including the CVE Shield tools described above). These require NorthstarNorthstar to be enabled for your organization.

For the complete, current list of tools on each server, see the mcp-contrast README.

Review the mcp-contrast repository for installation instructions with an overview of both options, hosted setup guides by client, and the local server reference.

このセクションの内容: