Avanan

Avanan（Check Point）MCP サーバー

Check Point Avanan（Harmony Email & Collaboration）向けの Model Context Protocol（MCP）サーバーです。AI アシスタントを使って、メールセキュリティ環境全体のセキュリティイベントを管理し、脅威を調査し、マルチテナントの MSP 運用に対応できます。

これは、Claude（または MCP 互換の AI）を Check Point Avanan 環境に接続する Model Context Protocol（MCP） サーバーです。

MSP Claude Plugins エコシステムの一部 — MSP スタック向けの AI 統合を集めた、拡大を続けるスイートです。MSP が、MSP のために構築しています。

機能

• インタラクティブなセキュリティイベントカード（MCP Apps）：hec_get_event は MCP Apps ホスト（Claude Desktop/web）で読み取り専用のインタラクティブカードとして表示され、重要度、状態、プラットフォーム、修復状況を確認できます。デフォルトではニュートラルなデザインで、window.__BRAND__ の注入または MCP_BRAND_* 環境変数でブランド設定が可能です。他のホストでのプレーン JSON の動作に変更はありません。

インストール

npm install @wyre-ai/avanan-mcp

設定

.env.example をコピーし、以下の変数を設定してください。このファイルの CONDUIT_S2S_SECRET は空のままにしてください。

変数	必須	説明
CHECKPOINT_CLIENT_ID	stdio および AUTH_MODE=env で必須	Checkpoint/Avanan OAuth2 クライアント ID
CHECKPOINT_CLIENT_SECRET	stdio および AUTH_MODE=env で必須	Checkpoint/Avanan OAuth2 クライアントシークレット
CHECKPOINT_REGION	いいえ	API リージョン（us、eu、au、in）。省略すると JWT から自動検出されます。
MCP_TRANSPORT	いいえ	stdio（デフォルト）または http
AUTH_MODE	いいえ	gateway（Docker イメージおよび Compose のデフォルト）または env。ゲートウェイモードでは、各 /mcp リクエストに X-Checkpoint-Client-Id と X-Checkpoint-Client-Secret が必要で、CHECKPOINT_* へのフォールバックは行いません。env では、S2S 認証の成功後にのみこれらの変数を使用します。
CONDUIT_S2S_SECRET	HTTP では必須	サービス間 HMAC シークレット。この値が空、または既知のプレースホルダー（changeme、replace-with-a-real-secret、your-s2s-secret、その他の公開されているサンプル値）の場合、HTTP サーバーはエラーをログに記録して、ゼロ以外の終了コードで終了します。MCP_ALLOW_INSECURE_DEV=1 を設定しても、プレースホルダーは受け付けられません。設定しないと Compose は起動しません。実際の値をコミットしないでください。この値がログに記録されることはありません。openssl rand -hex 32 で生成してください。
MCP_ALLOW_INSECURE_DEV	いいえ	ローカル開発時に限り、CONDUIT_S2S_SECRET を設定せずに HTTP を起動する場合、値を正確に 1 に設定してください。プロセスは警告をログに記録し、X-Gateway-S2S を強制せず、127.0.0.1 のみをバインドします。ループバック以外の MCP_HTTP_HOST（0.0.0.0 を含む）が設定されている場合は上書きされ、その上書きがログに記録されます。
MCP_HTTP_HOST	いいえ	MCP_TRANSPORT=http の場合のバインドアドレス。デフォルトは 127.0.0.1 です。シークレットを設定すると、この値が使用されます。コンテナイメージでは 0.0.0.0 が設定されます。
MCP_HTTP_PORT	いいえ	HTTP ポート。デフォルトは 8080 です。

/health は引き続き認証なしでアクセスできます。stdio トランスポートでは CONDUIT_S2S_SECRET を使用しません。

HTTP 認証

MCP_TRANSPORT=http と実際の CONDUIT_S2S_SECRET を使用する場合、すべての /mcp リクエストに X-Gateway-S2S を含める必要があります。ヘッダーの値は t=<unix seconds>,v1=<hex> です。この hex 値は、CONDUIT_S2S_SECRET を鍵として、文字列 t=<unix seconds> をそのまま HMAC-SHA256 で署名したものです（小文字の 16 進数 64 文字）。タイムスタンプはサーバーの時刻から 300 秒以内である必要があります。ヘッダーがない、または無効な場合、ベンダーの認証情報を読み込む前に HTTP 401 が返されます。

TS=$(date +%s)
SIG=$(printf 't=%s' "$TS" | openssl dgst -sha256 -hmac "$CONDUIT_S2S_SECRET" -hex | awk '{print $NF}')
curl -sS http://127.0.0.1:8080/mcp \
  -H 'Content-Type: application/json' \
  -H 'Accept: application/json, text/event-stream' \
  -H "X-Gateway-S2S: t=${TS},v1=${SIG}" \
  -H 'X-Checkpoint-Client-Id: your-client-id' \
  -H 'X-Checkpoint-Client-Secret: your-client-secret' \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

AUTH_MODE=gateway（イメージと Compose のデフォルト）では、/mcp に X-Checkpoint-Client-Id と X-Checkpoint-Client-Secret も必要です。これらのヘッダーが、そのリクエストで使用できる唯一の認証情報です。いずれかのヘッダーがない場合は 401 が返され、プロセス環境の CHECKPOINT_CLIENT_ID / CHECKPOINT_CLIENT_SECRET にはフォールバックしません。

シングルテナント HTTP（AUTH_MODE=env）でも有効な X-Gateway-S2S ヘッダーが必要です。そのうえで、リクエストにこれらのヘッダーが含まれていない場合は CHECKPOINT_CLIENT_ID と CHECKPOINT_CLIENT_SECRET が使用されます。

使用方法

Claude Desktop での実行

Claude Desktop の claude_desktop_config.json に追加します。

{
  "mcpServers": {
    "avanan-mcp": {
      "command": "npx",
      "args": ["@wyre-ai/avanan-mcp"],
      "env": {
        "CHECKPOINT_CLIENT_ID": "your-checkpoint-client-id"
        "CHECKPOINT_CLIENT_SECRET": "your-checkpoint-client-secret"
      }
    }
  }
}

Claude Code（CLI）での実行

claude mcp add avanan-mcp \
  -e CHECKPOINT_CLIENT_ID=your-value \
  -e CHECKPOINT_CLIENT_SECRET=your-value \
  -- npx -y @wyre-ai/avanan-mcp

Docker

イメージはコンテナ内で 0.0.0.0（MCP_HTTP_HOST）をリッスンし、デフォルトで AUTH_MODE=gateway に設定されています。ポートをループバックに公開し、実際の S2S シークレットを渡してください。ゲートウェイモードでは、Checkpoint の認証情報はリクエストごとにヘッダーで渡され、環境変数からは読み込まれません。

docker build -t avanan-mcp .
docker run \
  -e CONDUIT_S2S_SECRET=your-s2s-secret \
  -p 127.0.0.1:8080:8080 \
  avanan-mcp

CONDUIT_S2S_SECRET が設定されていない場合、Compose は起動を拒否します。また、AUTH_MODE=gateway を設定し、CHECKPOINT_CLIENT_ID と CHECKPOINT_CLIENT_SECRET を注入せず、127.0.0.1:8080:8080 を公開します。

CONDUIT_S2S_SECRET=your-s2s-secret docker compose up

シングルテナント HTTP（AUTH_MODE=env）でも S2S シークレットが必要で、そのうえで CHECKPOINT_CLIENT_ID と CHECKPOINT_CLIENT_SECRET が使用されます。これらはゲートウェイの Compose サービスには設定しないでください。

docker run \
  -e CONDUIT_S2S_SECRET=your-s2s-secret \
  -e AUTH_MODE=env \
  -e CHECKPOINT_CLIENT_ID=your-value \
  -e CHECKPOINT_CLIENT_SECRET=your-value \
  -e CHECKPOINT_REGION=us \
  -p 127.0.0.1:8080:8080 \
  avanan-mcp

シークレットを設定しないローカル HTTP は、開発用途に限られます。MCP_HTTP_HOST が 0.0.0.0 または localhost に設定されていても 127.0.0.1 にバインドされ、警告がログに記録されます。既知のプレースホルダーシークレットが設定されている場合は、引き続き起動を拒否します。

MCP_TRANSPORT=http MCP_ALLOW_INSECURE_DEV=1 npm start

利用可能なドメイン

イベント

セキュリティイベントの取得と調査

アクション

脅威に対する措置（隔離、解除など）

例外

メールの例外と許可リストの管理

検索

メールセキュリティデータ全体の検索

開発

# Clone the repository
git clone https://github.com/WYRE-AI/avanan-mcp.git
cd avanan-mcp

# Install dependencies
npm install

# Build
npm run build

# Run tests
npm test

貢献

貢献を歓迎します！CONTRIBUTING.md がある場合はそちらをご覧ください。変更について話し合うには、issue を作成してください。

ライセンス

Apache License, Version 2.0 の下でライセンスされています。詳細は LICENSE をご覧ください。