기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# MCP 앱(미리 보기)
Security Hub는 모델 컨텍스트 프로토콜(MCP) 앱을 통해 에이전트 경험을 제공합니다. 이 앱을 사용하면 AI 에이전트가 노출 조사 결과를 조사할 수 있습니다. 또한 생성 전에 기존 Azure 커넥터를 진단하거나 Azure 커넥터 사전 조건을 평가할 수 있습니다.
각 조사 결과 도구 호출은 에이전트가 추론할 수 있는 텍스트 요약을 반환합니다. 사용 가능한 경우 동일한 대화에서 확인할 수 있는 대화형 시각화도 반환됩니다. Connector Diagnostics는 확인된 조사 결과를 확인할 수 없는 검사 결과와 구분하는 구조화된 텍스트를 반환합니다.
MCP 앱은 시스템에서 실행되고 기존 AWS 자격 증명을 사용하여 Security Hub APIs 직접 호출하는 로컬 MCP 서버입니다. Connector Diagnostics는 기존 Azure CLI 세션을 사용하여 한정된 읽기 전용 Azure CLI 쿼리를 실행할 수도 있습니다. 모든 도구는 읽기 전용이며 보안 태세 또는 커넥터 리소스를 수정하지 않습니다. MCP 앱은 Security Hub를 사용할 수 있는 모든 AWS 상용 리전에서 사용할 수 있습니다.
**중요**
Security Hub MCP 앱은 공개 미리 보기 상태입니다.
## MCP 앱 예제
다음 예제에서는 노출을 조사하는 동안 MCP 앱이 Claude 데스크톱 내에서 대화형 시각화를 렌더링하는 방법을 보여줍니다.
**상위 노출** - 대화형 테이블에 가장 중요한 노출 조사 결과를 나열합니다. 다음 이미지는 상위 노출 테이블을 보여줍니다.
**조사 결과 세부 정보** - 상관관계가 있는 조사 결과 특성 요약, 공격 경로 및 문제 해결 지침과 함께 단일 노출 조사 결과의 개요를 검토합니다. 다음 이미지는 결과 세부 정보 보기를 보여줍니다.
**공격 경로** - 노출에 도달하는 방법을 대화형 그래프로 시각화합니다. 노드는 리소스, 자격 증명 및 서비스를 나타냅니다. 엣지는 엣지 간의 관계를 나타냅니다. 다음 이미지는 공격 경로 그래프를 보여줍니다.
**네트워크 경로** - AWS 엣지에서 대상 리소스로 정렬된 네트워크 홉을 탐색합니다(예: Internet Gateway에서 NACL로, Security Group에서 ENI로, 인스턴스로). 다음 이미지는 네트워크 경로를 보여줍니다.
**커넥터 진단** - 기존 Azure 커넥터가 성능 저하되거나 실패한 이유를 질문합니다. 에이전트는 확인된 문제를 식별하고, 확인할 수 없는 검사를 구분하며, 환경을 변경하지 않고 가장 작은 복구를 권장합니다.
**커넥터 준비** - 커넥터를 생성하기 전에 Azure 사전 조건을 확인합니다. 에이전트는 통과, 실패 또는 확인할 수 없는 사전 조건을 보고합니다.
## 주요 개념
**노출 조사 결과** - 취약성, 잘못된 구성, 네트워크 연결성, 민감한 데이터와 같은 여러 신호를 위험에 노출된 리소스의 단일 보기와 연관시키는 조사 결과입니다.
**커넥터 진단 **- Azure 커넥터를 위한 세 가지 읽기 전용 도구입니다. 도구는 기존 커넥터를 진단하고, 제안된 설정을 평가하고, [지원되는 Azure 설정 스크립트](securityhub-v2-azure-setup-azure.md)에서 정확한 발췌문을 검색합니다. 에이전트는 도구를 선택하고 구조화된 결과를 설명으로 변환합니다.
**로컬 MCP 서버** - 컴퓨터에서 실행되고 Claude Desktop과 Security Hub 간의 안전한 양방향 브리지 역할을 하는 프로그램입니다. 서버에는 Claude Desktop 내에서 UI를 렌더링하는 도구를 포함하여 AI 에이전트가 사용하는 도구가 포함되어 있습니다. 시스템의 AWS 자격 증명 체인을 사용하며 자체 자격 증명을 보유하지 않습니다.
**MCP 앱** - Claude 데스크톱 내에서 렌더링되는 대화형 애플리케이션입니다. 각 MCP 앱 보기는 상위 노출 테이블 또는 공격 경로 그래프 표시와 같은 단일 작업을 수행합니다.
**이중 응답** - 단일 조사 결과 도구 호출은 에이전트가 추론하는 간단한 텍스트 요약과 검토할 수 있도록 동일한 대화에서 렌더링된 대화형 시각화라는 두 가지 출력을 반환합니다.
## 사전 조건
+ Security Hub가 활성화된 AWS 계정입니다. 노출 조사 결과는 조사 결과 및 노출 도구에만 필요합니다.
+ Claude 데스크톱이 설치되었습니다. 설치 관리자는 [Claude 웹 사이트에서 Claude 데스크톱 다운로드](https://claude.ai/download)를 참조하세요.
+ AWS 표준 AWS SDK 자격 증명 체인에 구성된 자격 증명입니다.
+ Azure 측 커넥터 진단의 경우 Azure CLI를 설치합니다. `az login --tenant` {{테넌트 ID}}를 실행하여 커넥터의 테넌트에 인증합니다. 여기서 {{테넌트 ID}}는 커넥터가 포함된 Azure 테넌트의 ID입니다. MCP 앱은 결과 로컬 Azure CLI 세션을 사용합니다. MCP 구성에 Azure 자격 증명을 추가하지 마십시오.
**참고**
인증된 Azure CLI 세션 없이 Connector Diagnostics를 실행할 수 있습니다. 결과에는 사용 가능한 AWS측 평가가 포함되며 Azure 종속 검사는 확인되지 않음으로 표시됩니다. 사용할 수 없는 Azure 증거를 정상으로 취급하지 않습니다.
## MCP 서버 설정
MCP 앱은 번들 파일에서 Claude Desktop에 설치합니다. 설치하기 전에 서버가 자격 AWS 증명과 리전을 읽을 수 있도록가 `aws sts get-caller-identity` 성공하고이 터미널에 리전을 `aws configure get region` 반환하는지 확인합니다.
1. [Security Hub MCP 앱 번들](https://d29a07xw1myhp4.cloudfront.net/latest/sechub-mcp.mcpb)을 다운로드합니다.
1. 다운로드한 `.mcpb` 파일을 엽니다. Claude Desktop이 구성 흐름을 시작합니다. 지침에 따라 서버를 설치합니다.
1. 연결을 확인하려면 Claude Desktop에 “내 주요 보안 노출 사항은 무엇인가요?”와 같은 질문을 입력합니다. 또는 “ us-west-2의 Azure 커넥터 성능이 저하되었습니다. 무엇이 잘못된지 확인할 수 있나요?” 오류가 발생하면 오류 메시지의 지침을 검토하고 자격 증명과 리전을 확인합니다.
## 커넥터 진단 사용
커넥터 문제 또는 제안된 설정을 자연어로 설명합니다. 에이전트는 적절한 읽기 전용 도구를 선택하고, 구조화된 결과를 해석하고, 확인된 검사와 확인되지 않은 검사를 알려줍니다.
### 기존 커넥터 진단
1. 커넥터 ID 또는 정확한 이름으로 커넥터를 식별합니다. 또한 에이전트가 요청에서 커넥터를 확인할 수 없는 경우 커넥터가 포함된 AWS 계정과 리전을 제공합니다.
1. “ us-west-2의 Azure 커넥터 성능이 저하되었습니다. 무엇이 잘못된지 확인하고 먼저 무엇을 수정해야 하는지 알려주실 수 있나요?”
1. 확인되지 않은 점검과 별도로 확인된 결과를 검토합니다. Azure 인증을 사용할 수 없는 경우 에이전트는 결론을 증거 AWS로 제한합니다.
### 제안된 커넥터 평가
1. AWS 계정, AWS 리전 및 Azure 테넌트 ID를 제공합니다. 또한 제안된 커넥터에서 다룰 Azure 구독 IDs 1\~10개를 제공합니다. 에이전트에게 평가할 서비스 사전 조건인 클라우드 보안 태세 관리(CSPM), Inspector VM 스캔 또는 위협 탐지를 알립니다. 이러한 선택은 준비 확인의 범위를 지정합니다. 커넥터 생성 설정은 아닙니다.
1. “Azure 커넥터를 생성하기 전에 사전 조건이 이러한 구독에 대해 준비되었는지 확인하세요.”와 같은 질문을 합니다.
1. 통과, 실패 및 확인되지 않은 검사를 검토합니다. 정상 준비 결과는 확인된 사전 조건이 통과되었음을 의미합니다. 커넥터가 존재하거나, 실행 중이거나, 복구되었다는 의미는 아닙니다.
### 설정 지침 검색
결과가 온보딩 단계를 참조하는 경우 에이전트에게 해당 단계를 표시하도록 요청합니다. 예를 들어 “지원되는 Azure 커넥터 설정 스크립트의 6단계를 보여줘.”라고 질문합니다. 전체 스크립트는 [Security Hub와 통합하도록 Microsoft Azure 구성을](securityhub-v2-azure-setup-azure.md) 참조하세요. 도구는 정확한 발췌문을 반환하지만 실행하지는 않습니다. 단계가 구성 및 헬퍼 함수를 공유하므로 지원되는 전체 스크립트를 실행합니다.
**참고**
Connector Diagnostics는 리소스를 수리하거나 변경하지 않습니다. 문제 해결은 사용자가 제어하는 별도의 작업에 대한 지침입니다. 진단은 새로운 런타임 증거가 이를 입증할 때만 복구를 보고합니다.
## 사용 가능한 도구
**`top_exposures`** - 가장 긴급한 노출 조사 결과를 대화형 테이블로 나열합니다. 조사 결과당 도구에는이 목록의 조사 결과 ID가 필요하므로 먼저이 도구를 호출합니다.
**`finding_detail`** - 상관관계가 있는 조사 결과 특성 요약을 포함하여 한 조사 결과의 개요를 반환합니다.
**`finding_overview`** - 결과 ID별로 하나의 결과에 대한 텍스트 요약을 반환합니다.
**`correlated_finding_detail`** - 취약성, 구성 오류 또는 연결 가능성과 같은 단일 특성에 대한 하나의 노출과 상관관계가 있는 결과를 나열합니다.
**`attack_path`** - 하나의 결과에 대한 공격 경로 그래프를 빌드합니다.
**`network_path`** - 결과의 네트워크 경로를 AWS 엣지에서 대상 리소스로 정렬된 홉으로 확장합니다.
**`recommendation`** - 설명서 링크를 포함하여 하나의 결과에 대한 수정 지침을 반환합니다.
**`resource_detail`** - 짧은 ID(예: `i-1234`) 또는 ARN으로 AWS 리소스 하나의 구성을 반환합니다.
**`diagnose_connector`** - 사용 가능한 경우 Security Hub 상태 및 경계 Azure CLI 증거를 사용하여 기존 Azure 커넥터를 진단합니다. 확인된 결과, 영향을 받는 범위, 수정 지침 및 데이터 최신성을 반환합니다. 또한 확인할 수 없는 검사도 나열됩니다.
**`assess_connector_readiness`** - 생성 전에 제안된 Azure 커넥터에 대한 AWS측 및 Azure 측 사전 조건을 평가합니다. 커넥터를 생성하지 않습니다.
**`get_connector_setup_instructions`** - 패키징되고 지원되는 Azure 온보딩 스크립트에서 정확한 발췌문을 반환합니다. 스크립트는 실행되지 않습니다.