stig-mcp

stig-mcp

GitHub Copilot in VS Code や Claude Code などの AI アシスタントが、記憶ではなく公開されているガイダンスをもとにセキュリティに関する質問に回答できるようにする、ローカル MCP（Model Context Protocol）サーバーです。MITRE ATT&CK® の手法や脅威アクターと、対象のシステムを指定すると、次の内容を回答します。

• その脅威を軽減する NIST SP 800-53 セキュリティ管理策。
• そのシステムに対して、これらの管理策を実装する DISA STIG の設定ルール。重大度の高い順に表示し、リクエストに応じて DISA の確認テキストと修正テキストも表示します。
• ATT&CK 独自の緩和策、および収集しているログで利用できる検知方法。

システムをスキャンしたり、接続したりすることはありません。回答は、公開ソースから作成された約 6 MB のローカルデータベースであるナレッジベースに基づいています。このデータベースは一度インストールすれば使えます。ユーザーガイドでは、このツールの機能と、3 つの使い方を紹介しています。セキュリティ管理策の評価担当者、システム所有者、SOC アナリストとして利用できます。

前提条件

stig-mcp は PyPI で公開されており、uv に付属する uvx を通じて実行します。 uv をインストールしたら、新しいターミナルで uvx --version が実行できることを確認してください。uv をインストールした後、新しい PATH を認識させるため、VS Code または Claude Code を再起動してください。

クイックスタート

VS Code（GitHub Copilot）

1. このバッジをクリックします。VS Code が開き、stig-mcp のインストールが提示されるので、Install を選択します。

   

2. Copilot Chat を開き、モードのドロップダウンで Agent を選択します。MCP ツールは Ask モードや Edit モードでは利用できません。

3. Install the stig-mcp knowledge base. と入力します。約 6 MB のデータを一度だけダウンロードします。VS Code から確認を求められたら、ツールを許可してください。

うまくいかない場合は、トラブルシューティングまたは VS Code の手動セットアップを参照してください。

Claude Code

1. Claude Code のセッション内（2.1.275 以降）で、次を実行します。

   /plugin install stig-mcp --marketplace jeneric/STIG-MCP
   

2. Install the stig-mcp knowledge base. と入力します。約 6 MB のデータを一度だけダウンロードします。Claude Code から確認を求められたら、ツールを許可してください。

うまくいかない場合は、トラブルシューティングまたは Claude Code の手動セットアップを参照してください。

プロンプトの例

ナレッジベースをインストールしたら、次の例を試してください。

1. システム所有者：What DISA STIG steps mitigate T1078 on Windows 11?
2. セキュリティ管理策の評価担当者：Which ATT&CK techniques does APT29 use?
3. 適用する STIG を探す場合：Which STIG benchmarks apply to RHEL 9?
4. SOC アナリスト：What can I detect of APT29 on Windows Server 2022 with Security and Sysmon logs?

その他のプロンプトの例はユーザーガイドにあります。また、より効果的に使う方法や、エージェントがサーバーから回答するようにする方法も紹介しています。

その他の MCP クライアント

VS Code または Claude Code を使用していない場合にのみ、こちらを使用してください。ローカルの （stdio）MCP サーバーを起動するクライアントであれば、一般的な mcpServers 形式で示されるこの設定を使用できます。

{
  "mcpServers": {
    "stig-mcp": {
      "command": "uvx",
      "args": ["stig-mcp"],
      "env": { "UV_SYSTEM_CERTS": "true", "UV_NATIVE_TLS": "true" }
    }
  }
}

2 つの環境変数により、uv は stig-mcp を TLS 検査プロキシ経由でダウンロードできます。ほとんどの他のホストでは問題ありませんが、このセクションでは例外を 1 つ挙げています。その後、クイックスタートと同じように、エージェントに stig-mcp ナレッジベースのインストールを依頼してください。

docs/install.mdに詳細があります。

• 手動でのVS CodeおよびClaude Codeのセットアップ
• ソースチェックアウトからの実行
• エージェントを使わずに、またはネットワークアクセスなしでのナレッジベースのインストール
• データの保存場所
• トラブルシューティング

このサーバーが取得するデータ

• MCP サーバーは、check_sources または install_knowledge_base が呼び出されない限り、どこにも接続しません。呼び出された場合は、api.github.com（このリポジトリのリリース一覧）と github.com（/jeneric/STIG-MCP/releases/download/...）に HTTPS GET リクエストを送信し、そこから release-assets.githubusercontent.com または objects.githubusercontent.com にリダイレクトされます。リダイレクト先を含め、これ以外の URL への接続は拒否されます。アップロードは行われず、テレメトリもありません。 ファイルパスとその SHA-256 を指定して install_knowledge_base を実行した場合、リクエストは一切行いません。
• stig-mcp-install-kb は同じホストに接続しますが、--file を指定した場合は一切接続しません。
• 自分でナレッジベースを構築する場合にのみ使用する stig-mcp-fetch は、raw.githubusercontent.com および api.github.com（MITRE ATT&CK、CTID マッピング、NIST 800-53 カタログ）、ならびに dl.dod.cyber.mil（DISA）からダウンロードします。

PRIVACY.mdには、これらの各リクエストで送信される情報と、ローカルに保存される情報が記載されています。

ドキュメント

• docs/install.md：すべてのクライアントのインストール方法、データの保存場所、トラブルシューティングについて説明しています。
• docs/user-guide.md：このサーバーが接続された LLM と対話する人向けのガイドです。
• docs/operations.md：ナレッジベースをインストール、構築、保守する担当者向けのガイドです。
• SECURITY.md：脆弱性の報告方法と、報告対象の範囲について説明しています。
• CONTRIBUTING.md：ソースチェックアウトからの作業、テストの実行、プロジェクトの規約について説明しています。
• RELEASING.md：メンテナー向けに、PyPI と MCP Registry へのパッケージ公開について説明しています。
• PRIVACY.md：サーバーと取得ツールが接続する先、およびローカルに保存される情報について説明しています。

サードパーティのコンテンツ

ナレッジベースには、MITRE ATT&CK、CTID マッピング、DISA STIG、DISA CCI リスト、および NIST OSCAL のコンテンツが集約されています。帰属表示とライセンス上の義務についてはNOTICEを、NOTICE で必要とされる Apache 2.0 ライセンスの本文についてはlicenses/apache-2.0.txtを参照してください。

開発

Claude Code（Anthropic）の支援を受けて開発されました。すべての変更はメンテナーがレビューし、テストしました。