Checkmarx Security MCP

Сервер Checkmarx Security MCP (Model Context Protocol) подключает AI-ассистентов для программирования к платформе Checkmarx One. Он позволяет запускать сканирование в реальном времени, управлять уязвимостями и получать сгенерированные AI рекомендации по устранению проблем прямо в IDE или AI-агенте.

Часть проекта Checkmarx Agentic AI.

Содержание

Обзор
- Поддерживаемые механизмы сканирования
- Поддерживаемые транспортные протоколы
Возможности
Аутентификация
- Аутентификация OAuth2 (рекомендуется)
- Аутентификация с помощью API Key
Настройка MCP-клиента
- Предварительные требования
- Конфигурация JSON
Доступные инструменты
- Сканирование
- Управление проектами
- Управление приложениями
- Аналитика и риски
- Устранение проблем

Обзор

Сервер Checkmarx Security MCP связывает AI-ассистента (Claude, Cursor, Copilot, Gemini CLI и другие) с корпоративной платформой Checkmarx One для обеспечения безопасности приложений.

Он предоставляет инструменты MCP для работы с процессами обеспечения безопасности на естественном языке. Разработчики могут сканировать код, изучать результаты проверок и получать контекстные рекомендации по исправлению проблем, не покидая свою среду разработки.

Поддерживаемые механизмы сканирования:

SAST — статический анализ безопасности приложений (более 30 языков)
SCA — анализ состава программного обеспечения и зависимостей с открытым исходным кодом
KICS — проверка безопасности Infrastructure as Code (Terraform, CloudFormation, Kubernetes, Dockerfile)
Обнаружение секретов — поиск встроенных в код учётных данных, ключей API и токенов

Поддерживаемые транспортные протоколы

Поддержка нескольких протоколов обеспечивает безопасный и эффективный обмен данными между клиентами и сервером:

stdio: стандартный ввод-вывод для CLI и встроенных агентов
sse (Server-Sent Events): потоковая передача данных в реальном времени веб-клиентам
httpstreamableHttp: совместимый с HTTP протокол для потокового обмена сообщениями

Возможности

Категория	Возможности
Сканирование	Планирование, запуск и отслеживание проверок с использованием нескольких механизмов сканирования (в режиме CLI или API)
Результаты проверок	Просмотр, фильтрация и изучение уязвимостей с отслеживанием уровня критичности и статуса
Устранение проблем	Сгенерированные AI рекомендации по исправлению уязвимостей в коде, небезопасных пакетов и образов контейнеров
Управление проектами	Создание, настройка и поиск проектов Checkmarx One
Управление приложениями	Группировка проектов в приложения и просмотр метрик безопасности для всей организации
Аналитика	Сводные данные об уязвимостях во всём тенанте, оценки рисков и динамика за выбранный период
Цепочка поставок	Обнаружение вредоносных пакетов npm/Maven/PyPI/Go/NuGet с помощью интеграции с Dustico
Корпоративная аутентификация	JWT (проверка через JWKS), обмен токенами OAuth2 и кэширование сессий в Redis
Наблюдаемость	Структурированное журналирование (zerolog), трассировка OpenTelemetry

Аутентификация

Сервер поддерживает аутентификацию с помощью API Key и OAuth2.

Аутентификация OAuth2 (рекомендуется)

Checkmarx MCP поддерживает поток Dynamic Client Registration (DCR), который позволяет AI-клиентам, например Cursor, Claude Desktop или Gemini CLI, безопасно подключаться к серверу.

Достаточно настроить MCP-клиент, как описано в разделе «Настройка MCP-клиента».
При подключении к MCP-серверу клиент будет перенаправлен на страницу входа Checkmarx One для аутентификации.
После успешной аутентификации с действительными учётными данными Checkmarx клиент сможет использовать инструменты MCP-сервера.

Аутентификация с помощью API Key

Клиенты проходят аутентификацию в Checkmarx One и получают API Key.
Этот API Key используется при настройке MCP-клиента: его нужно добавить в заголовок Authorization, как описано в разделе «Настройка MCP-клиента».

Примечание: Для получения API Key и подключения к MCP-серверу необходимы действительные учётные данные Checkmarx.

Подробные инструкции по аутентификации и устранению неполадок см. в разделе Аутентификация.

Настройка MCP-клиента

Предварительные требования

Тенант Checkmarx One
Хост API Checkmarx
API Key с необходимыми правами доступа, если используется аутентификация по API Key

Конфигурация JSON

Ниже приведены примеры настройки сервера в конфигурации MCP-клиента. Готовые файлы конфигурации (claude-mcp.json, cursor-mcp.json, copilot-mcp.json, gemini-mcp.json, windsurf-mcp.json, kiro-mcp.json) доступны в папке examples/.

Gemini CLI использует файл ~/.gemini/settings.json и параметр httpUrl для потокового HTTP (не url, который предназначен для SSE). См. examples/gemini-mcp.json.

Аутентификация OAuth2

{
  "mcpServers": {
    "Checkmarx": {
      "type": "http",
      "url": "https://{cxone_base_url}/api/security-mcp/mcp/{tenant}"
    }
  }
}

Аутентификация с помощью API Key:

{
  "servers":{
    "Checkmarx":{
      "url":"https://{cxone_base_url}/api/security-mcp/mcp/{tenant}",
      "headers":{
        "cx-origin":"<your_platform>",
        "Authorization":"<cxone_api_key>"
      }
    }
  }
}

Доступные инструменты

Подробное описание см. в разделе использование.

Сканирование

Инструмент	Описание
`planScan`	Рекомендует механизмы сканирования с учётом особенностей проекта
`triggerScan`	Запускает сканирование: CLI — для локального кода, API — для URL репозитория
`getScanDetails`	Возвращает статус и ход сканирования, а также сводку по уровням критичности
`getLatestScans`	Получает последние результаты сканирования проекта
`listScans`	Выводит список сканирований с фильтрацией по статусу, дате и ветке
`listFindings`	Выводит уязвимости, обнаруженные при сканировании, с фильтрацией по уровню критичности
`getFindingDetails`	Возвращает подробную информацию о выбранной уязвимости

Управление проектами

Инструмент	Описание
`resolveProject`	Находит проект по имени
`createProject`	Создаёт проект Checkmarx One
`listProjects`	Просматривает и выполняет поиск по списку проектов
`getProjectConfig`	Возвращает полную конфигурацию проекта

Управление приложениями

Инструмент	Описание
`listApplications`	Просматривает и выполняет поиск по списку приложений
`createApplication`	Создаёт приложение
`getApplicationDetails`	Возвращает сведения о приложении по его ID
`associateProject`	Связывает проекты с приложением

Аналитика и риски

Инструмент	Описание
`getTenantVulnerabilitiesSummary`	Возвращает динамику количества уязвимостей по уровням критичности и механизмам сканирования за выбранный период для всей организации.

Устранение проблем

Инструмент	Описание
`codeRemediation`	Предлагает исправления проблем в коде: уязвимостей SAST, секретов и ошибок конфигурации IaC.
`packageRemediation`	Анализирует конкретный уязвимый или вредоносный пакет либо зависимость и предлагает способы устранения проблемы.
`imageRemediation`	Предлагает способы устранения CVE в образах контейнеров и более безопасные альтернативы базовым образам.

Лицензия

Apache 2.0 — подробности см. в файле LICENSE.

Участие в разработке

Инструкции по настройке среды разработки, архитектура модулей и правила участия приведены в файле CONTRIBUTING.md.

Веб-сайт: Checkmarx.