Перейти к основному содержимому
Версия: 1.6

Интеграция TRON.ASOC с MCP-клиентами

TRON.ASOC поддерживает протокол MCP (Model Context Protocol) — стандарт взаимодействия ИИ-агентов с внешними инструментами и данными. TRON.ASOC выступает в роли MCP-сервера и предоставляет ИИ-агентам доступ к функциям управления уязвимостями, сканированиями, проектами и другими сущностями системы.

Характеристики реализации:

  • протокол — JSON-RPC 2.0;
  • передача данных — Streamable HTTP (основной способ), SSE (устаревший способ).

Перед началом работы​

Перед подключением убедитесь, что:

  • доступен сервер TRON.ASOC версии 1.6 и выше;
  • на рабочей машине установлен совместимый MCP-клиент (Claude Code, Cursor и др.);
  • для учетной записи пользователя в TRON.ASOC создан API-токен с необходимыми правами доступа. Подробнее о создании API-токена см. раздел Создание API-токена.

Аутентификация​

Для подключения к MCP-серверу TRON.ASOC используется заголовок X-API-Token с действительным API-токеном пользователя.

Права доступа к инструментам определяются ролями и политиками пользователя, от имени которого выполняется запрос.

Конфигурация сервера​

MCP-сервер настраивается в конфигурационном файле config.yml:

mcp:
  enabled: true
  tools: []  # пустой массив = все инструменты включены

Чтобы ограничить доступные инструменты, укажите их названия в массиве tools:

mcp:
  enabled: true
  tools:
    - asoc_list_projects
    - asoc_get_project
    - asoc_list_issues

Подключение MCP-клиента​

В этом разделе описано подключение MCP-клиента Claude Code.

Чтобы подключить MCP-клиент, выполните следующие шаги:

  1. Создайте или отредактируйте файл ~/mcp.json:

    {
      "mcpServers": {
        "asoc": {
          "type": "http",
          "url": "https://<asoc-host>/mcp",
          "headers": {
            "X-API-Token": "<api-токен>"
          }
        }
      }
    }

  2. Проверьте подключение с помощью curl:

    TOKEN="<api-токен>"
    URL="https://<asoc-host>/mcp"

    # 1. Инициализация сессии
    SESSION=$(curl -s -D - -X POST $URL \
      -H "Content-Type: application/json" \
      -H "X-API-Token: $TOKEN" \
      -d '{"jsonrpc":"2.0","id":1,"method":"initialize","params":{"protocolVersion":"2024-11-05","capabilities":{},"clientInfo":{"name":"test","version":"1.0"}}}' \
      | grep -i "Mcp-Session-Id" | awk '{print $2}' | tr -d '\r')

    # 2. Подтверждение готовности клиента
    curl -s -X POST $URL \
      -H "Content-Type: application/json" \
      -H "X-API-Token: $TOKEN" \
      -H "Mcp-Session-Id: $SESSION" \
      -d '{"jsonrpc":"2.0","method":"notifications/initialized","params":{}}'

    # 3. Получение списка инструментов
    curl -s -X POST $URL \
      -H "Content-Type: application/json" \
      -H "X-API-Token: $TOKEN" \
      -H "Mcp-Session-Id: $SESSION" \
      -d '{"jsonrpc":"2.0","id":2,"method":"tools/list","params":{}}'

    # 4. Вызов инструмента
    curl -s -X POST $URL \
      -H "Content-Type: application/json" \
      -H "X-API-Token: $TOKEN" \
      -H "Mcp-Session-Id: $SESSION" \
      -d '{"jsonrpc":"2.0","id":3,"method":"tools/call","params":{"name":"asoc_list_projects","arguments":{}}}'

    Результат шага: ответ на запрос 3 содержит список инструментов MCP-сервера TRON.ASOC.

Доступные MCP-инструменты​

В таблицах ниже представлены MCP-инструменты для действий с сущностями системы (например, создание проекта или слоя, изменение статуса уязвимости, запуск сканирования и т. д.).

Проекты​

ИнструментНазначениеНеобходимые права
asoc_list_projectsПолучение списка проектовПросмотр проектов
asoc_get_projectПолучение определенного проектаПросмотр проектов
asoc_create_projectСоздание проектаСоздание и редактирование проектов

Слои​

ИнструментНазначениеНеобходимые права
asoc_get_project_layer_treeПолучение иерархии слоев проектаПросмотр слоев
asoc_list_layersПолучение списка слоевПросмотр слоев
asoc_get_layerПолучение информации о слое по IDПросмотр слоев
asoc_create_layerСоздание слояСоздание и редактирование слоев

Уязвимости​

ИнструментНазначениеНеобходимые права
asoc_list_issuesПолучение списка уязвимостейПросмотр проблем безопасности
asoc_get_issueПолучение информации об уязвимости по IDПросмотр проблем безопасности
asoc_update_issue_statusИзменение статуса уязвимостиОбновление проблем безопасности
asoc_get_issue_statusesПолучение статусов уязвимостей—
asoc_group_update_statusМассовое изменение статуса уязвимостейОбновление проблем безопасности
asoc_group_update_severityМассовое изменение критичности уязвимостейОбновление проблем безопасности
asoc_assign_issueНазначение ответственногоНазначение ответственного
asoc_get_issue_characteristicsПолучение уровней критичности уязвимостей—
asoc_get_commentsПолучение комментариевПросмотр комментариев
asoc_add_commentДобавление комментарияКомментирование
asoc_delete_commentУдаление комментарияУдаление комментариев
asoc_get_mentionsПолучение упоминаний текущего пользователя—
asoc_mark_mentions_readОтметка упоминаний прочитанными—
asoc_mark_comments_readОтметка комментариев прочитаннымиПросмотр комментариев

Сканирования​

ИнструментНазначениеНеобходимые права
asoc_list_scansПолучение списка сканированийПросмотр проверок безопасности
asoc_get_scanПолучение информации о сканированииПросмотр проверок безопасности
asoc_stop_scanОстановка сканированияУправление проверками безопасности
asoc_list_scan_filtersПолучение фильтров сканированияПросмотр проверок безопасности
asoc_compare_scansСравнение двух сканированийПросмотр проверок безопасности

Проверки безопасности​

ИнструментНазначениеНеобходимые права
asoc_create_checkСоздание проверки безопасностиУправление проверками безопасности
asoc_get_checkПолучение информации о проверке безопасностиПросмотр проверок безопасности
asoc_run_checkЗапуск проверки безопасностиЗапуск проверок безопасности

Статистика​

ИнструментНазначениеНеобходимые права
asoc_stats_openПолучение данных об открытых уязвимостяхПросмотр проблем безопасности
asoc_stats_allПолучение общей статистикиПросмотр проблем безопасности
asoc_stats_severityПолучение статистики по критичностиПросмотр проблем безопасности
asoc_stats_toolПолучение статистики по инструментамПросмотр проблем безопасности
asoc_stats_projectПолучение статистики по проектамПросмотр проблем безопасности
asoc_stats_vulnerabilityПолучение статистики по CWE/CVEПросмотр проблем безопасности

Контроли качества​

ИнструментНазначениеНеобходимые права
asoc_list_gatesПолучение списка контролей качестваПросмотр шаблонов контролей качества
asoc_get_gateПолучение данных о контроле качестваПросмотр шаблонов контролей качества
asoc_get_gate_status_for_layerПолучение статуса контроля качества для слояПросмотр шаблонов контролей качества
asoc_get_gate_status_for_checkПолучение статуса контроля качества для проверкиПросмотр шаблонов контролей качества
asoc_create_gateСоздание контроля качестваУправление шаблонами контролей качества
asoc_attach_gate_to_checkПривязка контроля качества к проверкеУправление шаблонами контролей качества
asoc_create_conditionСоздание условия контроля качестваУправление шаблонами контролей качества

Пользователи​

ИнструментНазначениеНеобходимые права
asoc_list_usersПолучение списка пользователей—
asoc_get_userПолучение данных о пользователе по ID—
asoc_get_current_userПолучение данных о текущем пользователе—
asoc_list_user_api_tokensПолучение списка API-токенов пользователя—
asoc_delete_api_tokenУдаление API-токена—

Трекеры задач​

ИнструментНазначениеНеобходимые права
asoc_list_trackersПолучение списка настроенных трекеровПросмотр трекеров
asoc_get_trackerПолучение информации о трекереПросмотр трекеров
asoc_sync_tracker_taskСинхронизация с задачей трекераСоздание задач для трекера
asoc_unlink_tracker_taskОтвязка задачи трекераСоздание задач для трекера

SBOM и зависимости​

ИнструментНазначениеНеобходимые права
asoc_list_sbomsПолучение списка SBOM-файловПросмотр зависимостей
asoc_list_dependenciesПолучение списка зависимостейПросмотр зависимостей
asoc_get_dependencyПолучение данных о зависимостиПросмотр зависимостей

FP-анализ​

ИнструментНазначениеНеобходимые права
asoc_fp_analyzeЗапуск FP-анализаРабота с FP-анализом
asoc_fp_get_analysisПолучение результата FP-анализаРабота с FP-анализом

Прочие инструменты​

ИнструментНазначениеНеобходимые права
asoc_list_reportsПолучение списка отчетовПросмотр отчетов
asoc_list_severitiesПолучение данных об уровнях критичности—
asoc_list_toolsПолучение списка инструментовПросмотр инструментов
asoc_create_toolСоздание инструментаСоздание и редактирование инструментов
asoc_update_toolОбновление инструментаСоздание и редактирование инструментов
asoc_list_sourcesПолучение списка источниковПросмотр источников
asoc_create_sourceСоздание источникаСоздание и редактирование источников
asoc_update_sourceОбновление источникаСоздание и редактирование источников
asoc_visibility_filterПроверка доступа к сущностям—