MCP Threatintel

🚀 MCP威脅情報服務器

MCP威脅情報服務器為安全研究和分析提供對多個威脅情報源的統一訪問，能幫助用戶更高效地獲取和分析威脅情報。

🚀 快速開始

MCP服務器可提供對多個威脅情報源的統一訪問，適用於安全研究、事件響應或威脅分析等場景。

✨ 主要特性

• 統一查詢：可同時跨多個來源查詢 IP、域名、哈希值和 URL。
• 減少上下文切換：無需為不同的情報源打開多個瀏覽器標籤。
• 關聯情報：在一個響應中查看所有配置來源的結果。
• 免費層級友好：可與免費 API 層級配合使用，當來源不可用時能優雅降級。
• 無密鑰可用：Feodo Tracker（殭屍網絡 C2）無需任何 API 密鑰即可使用。

具體能力

📦 安裝指南

使用 npm（推薦）

npx mcp-threatintel-server

或全局安裝：

npm install -g mcp-threatintel-server

從源代碼安裝

git clone https://github.com/aplaceforallmystuff/mcp-threatintel.git
cd mcp-threatintel
npm install
npm run build

🛠️ 配置說明

針對 Claude Desktop

添加到 Claude Desktop 配置文件：

• macOS：~/Library/Application Support/Claude/claude_desktop_config.json
• Windows：%APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "threatintel": {
      "command": "npx",
      "args": ["-y", "mcp-threatintel-server"],
      "env": {
        "OTX_API_KEY": "your-otx-api-key",
        "ABUSEIPDB_API_KEY": "your-abuseipdb-api-key",
        "GREYNOISE_API_KEY": "your-greynoise-api-key",
        "ABUSECH_AUTH_KEY": "your-abusech-auth-key"
      }
    }
  }
}

針對 Claude Code

添加到 ~/.claude.json：

{
  "mcpServers": {
    "threatintel": {
      "command": "npx",
      "args": ["-y", "mcp-threatintel-server"],
      "env": {
        "OTX_API_KEY": "your-otx-api-key",
        "ABUSEIPDB_API_KEY": "your-abuseipdb-api-key",
        "GREYNOISE_API_KEY": "your-greynoise-api-key",
        "ABUSECH_AUTH_KEY": "your-abusech-auth-key"
      }
    }
  }
}

API 密鑰說明

注意：工具會根據你提供的 API 密鑰動態啟用。Feodo Tracker 無需身份驗證（公共 JSON 源）即可使用。

💻 使用示例

檢查可用來源

"What threat intel sources are configured?" "Show me threatintel status"

IP 調查

"Check if 185.220.101.1 is malicious" "Look up this IP across all threat intel sources"

域名分析

"Is evil-domain.com known to be malicious?" "Check domain reputation"

惡意軟件哈希查詢

"Look up this SHA256 hash in threat intel" "Is this file hash known malware?"

URL 分析

"Check if this URL is in any blocklists"

殭屍網絡跟蹤（無需 API 密鑰）

"Show me active botnet C2 servers" "Get Feodo tracker data for Emotet"

威脅脈衝

"Search OTX for recent ransomware pulses" "Get latest threat intelligence pulses"

🛠️ 可用工具

狀態檢查

統一查詢

AbuseIPDB（需要 API 密鑰）

AlienVault OTX（需要 API 密鑰）

GreyNoise（需要 API 密鑰）

URLhaus（需要 abuse.ch 認證密鑰）

MalwareBazaar（需要 abuse.ch 認證密鑰）

ThreatFox（需要 abuse.ch 認證密鑰）

Feodo Tracker（無需密鑰）

🛠️ 開發說明

# 開發時的監聽模式
npm run watch

# 構建 TypeScript
npm run build

# 本地運行
node dist/index.js

🐞 故障排除

"No threat intel sources configured"

你可以在不使用任何 API 密鑰的情況下使用服務器，Feodo Tracker 仍然可以正常工作。對於其他來源，請在配置中添加相應的 API 密鑰。

"API error: 401 Unauthorized"

你的 API 密鑰無效或已過期，請從相應服務生成新的密鑰。

"API error: 429 Too Many Requests"

你已超出服務的速率限制，請等待一段時間或升級你的 API 層級。

部分結果

如果某些來源返回錯誤，統一查詢工具仍將返回正常來源的結果。檢查 threatintel_status 以查看哪些來源配置正確。

📚 詳細文檔

數據源說明

• AlienVault OTX：開放威脅交換平臺，是一個社區驅動的威脅情報平臺，包含帶有妥協指標的脈衝信息。
• AbuseIPDB：眾包 IP 信譽數據庫，包含來自全球網絡管理員的濫用報告。
• GreyNoise：可識別掃描互聯網的 IP 和定向攻擊，有助於減少威脅檢測中的誤報。
• abuse.ch 項目：
  • URLhaus：惡意軟件分發 URL 庫。
  • MalwareBazaar：惡意軟件樣本庫。
  • ThreatFox：IOC 共享平臺。
  • Feodo Tracker：殭屍網絡 C2 基礎設施跟蹤工具。

🤝 貢獻說明

歡迎貢獻代碼！請參閱 CONTRIBUTING.md 瞭解貢獻指南。

📄 許可證

本項目採用 MIT 許可證，詳情請參閱 LICENSE。

🔗 相關鏈接

• 模型上下文協議
• MCP 規範
• GitHub 倉庫

🚀 相關項目

如需更多威脅情報功能，可考慮以下項目：

• @burtthecoder/mcp-shodan - Shodan 互聯網掃描工具
• @burtthecoder/mcp-virustotal - VirusTotal 惡意軟件分析工具