Findings sind erst dann wertvoll, wenn sie dort ankommen, wo gehandelt wird: im Ticketsystem, im SOAR-Playbook, in der GRC-Plattform, im Chat des Analysten. SecTepe SnapScan bringt dafür einen read-only Model-Context-Protocol-Server (MCP) mit, der die Findings eines Mandanten strukturiert für externe, agentische Systeme öffnet – bewusst positioniert als direkte Antwort auf den MCP-Server von NodeZero.
Was der MCP-Server bereitstellt
Der Server ist single-tenant und ausschließlich lesend. Er stellt eine kompakte, klar abgegrenzte Werkzeugmenge bereit:
list_findingsundget_finding– Findings auflisten und im Detail abrufen,list_scansundget_scan– Scans und ihren Status einsehen,tenant_summary– eine verdichtete Übersicht über den Mandanten.
Jedes Finding wird dabei angereichert: mit dem CISA-KEV-Signal (wird die Schwachstelle nachweislich aktiv ausgenutzt?), mit dem EPSS-Wert (wie wahrscheinlich ist eine Ausnutzung?) und mit den Proof-of-Exploit-Artefakten aus der Active Exploitation. Ein Agent bekommt so nicht nur „hier ist eine CVE", sondern die Signale, die für die Priorisierung wirklich zählen.
Sicherheit: tenant-gebundene, gehashte Service-Keys
Maschinenzugriff braucht saubere Schlüssel-Governance. SnapScan nutzt dafür tenant-scoped, gehashte API-Keys (snap_mcp_…): Der Schlüssel wird nur als SHA-256-Hash gespeichert, genau einmal im Klartext angezeigt, trägt Rolle und Ablaufdatum und lässt sich weich widerrufen. Angelegt werden Keys über die Konsole (POST /api/admin/console/mcp-keys, RBAC-Berechtigung tenant:manage). Ergänzend gibt es einen service-key-gesicherten REST-Endpunkt für eine Findings-Zusammenfassung.
Bereitstellung über stdio
Der MCP-Server wird über stdio ausgeliefert (npm run mcp) und lässt sich damit direkt an MCP-fähige Clients anbinden – etwa an ein SOAR, an ein Ticketing-System, an SecTepe.Core als GRC-Ziel oder an einen Desktop-Agenten. Der Datenfluss bleibt lesend und governiert: Der Client kann Findings abfragen, aber nichts verändern.
Der Weg in die GRC-Welt
Damit schließt sich der Kreis der SnapScan-Neuerungen: Der KI-Agent und die Runner erzeugen Findings, die CTEM-Loops halten sie aktuell, und der MCP-Export trägt sie – angereichert mit KEV/EPSS – governiert in die Systeme, die daraus Maßnahmen und Nachweise machen.
Fazit
Der MCP-Findings-Export macht SnapScan anschlussfähig an die agentische Werkzeugwelt, ohne die Kontrolle aufzugeben: read-only, tenant-gebunden, mit gehashten Schlüsseln und aussagekräftiger Anreicherung. So werden Pentest-Ergebnisse zu einer Datenquelle, mit der Automatisierung tatsächlich etwas anfangen kann.