MCP Threatintel

🚀 MCP威胁情报服务器

MCP威胁情报服务器为安全研究和分析提供对多个威胁情报源的统一访问，能帮助用户更高效地获取和分析威胁情报。

🚀 快速开始

MCP服务器可提供对多个威胁情报源的统一访问，适用于安全研究、事件响应或威胁分析等场景。

✨ 主要特性

• 统一查询：可同时跨多个来源查询 IP、域名、哈希值和 URL。
• 减少上下文切换：无需为不同的情报源打开多个浏览器标签。
• 关联情报：在一个响应中查看所有配置来源的结果。
• 免费层级友好：可与免费 API 层级配合使用，当来源不可用时能优雅降级。
• 无密钥可用：Feodo Tracker（僵尸网络 C2）无需任何 API 密钥即可使用。

具体能力

📦 安装指南

使用 npm（推荐）

npx mcp-threatintel-server

或全局安装：

npm install -g mcp-threatintel-server

从源代码安装

git clone https://github.com/aplaceforallmystuff/mcp-threatintel.git
cd mcp-threatintel
npm install
npm run build

🛠️ 配置说明

针对 Claude Desktop

添加到 Claude Desktop 配置文件：

• macOS：~/Library/Application Support/Claude/claude_desktop_config.json
• Windows：%APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "threatintel": {
      "command": "npx",
      "args": ["-y", "mcp-threatintel-server"],
      "env": {
        "OTX_API_KEY": "your-otx-api-key",
        "ABUSEIPDB_API_KEY": "your-abuseipdb-api-key",
        "GREYNOISE_API_KEY": "your-greynoise-api-key",
        "ABUSECH_AUTH_KEY": "your-abusech-auth-key"
      }
    }
  }
}

针对 Claude Code

添加到 ~/.claude.json：

{
  "mcpServers": {
    "threatintel": {
      "command": "npx",
      "args": ["-y", "mcp-threatintel-server"],
      "env": {
        "OTX_API_KEY": "your-otx-api-key",
        "ABUSEIPDB_API_KEY": "your-abuseipdb-api-key",
        "GREYNOISE_API_KEY": "your-greynoise-api-key",
        "ABUSECH_AUTH_KEY": "your-abusech-auth-key"
      }
    }
  }
}

API 密钥说明

注意：工具会根据你提供的 API 密钥动态启用。Feodo Tracker 无需身份验证（公共 JSON 源）即可使用。

💻 使用示例

检查可用来源

"What threat intel sources are configured?" "Show me threatintel status"

IP 调查

"Check if 185.220.101.1 is malicious" "Look up this IP across all threat intel sources"

域名分析

"Is evil-domain.com known to be malicious?" "Check domain reputation"

恶意软件哈希查询

"Look up this SHA256 hash in threat intel" "Is this file hash known malware?"

URL 分析

"Check if this URL is in any blocklists"

僵尸网络跟踪（无需 API 密钥）

"Show me active botnet C2 servers" "Get Feodo tracker data for Emotet"

威胁脉冲

"Search OTX for recent ransomware pulses" "Get latest threat intelligence pulses"

🛠️ 可用工具

状态检查

统一查询

AbuseIPDB（需要 API 密钥）

AlienVault OTX（需要 API 密钥）

GreyNoise（需要 API 密钥）

URLhaus（需要 abuse.ch 认证密钥）

MalwareBazaar（需要 abuse.ch 认证密钥）

ThreatFox（需要 abuse.ch 认证密钥）

Feodo Tracker（无需密钥）

🛠️ 开发说明

# 开发时的监听模式
npm run watch

# 构建 TypeScript
npm run build

# 本地运行
node dist/index.js

🐞 故障排除

"No threat intel sources configured"

你可以在不使用任何 API 密钥的情况下使用服务器，Feodo Tracker 仍然可以正常工作。对于其他来源，请在配置中添加相应的 API 密钥。

"API error: 401 Unauthorized"

你的 API 密钥无效或已过期，请从相应服务生成新的密钥。

"API error: 429 Too Many Requests"

你已超出服务的速率限制，请等待一段时间或升级你的 API 层级。

部分结果

如果某些来源返回错误，统一查询工具仍将返回正常来源的结果。检查 threatintel_status 以查看哪些来源配置正确。

📚 详细文档

数据源说明

• AlienVault OTX：开放威胁交换平台，是一个社区驱动的威胁情报平台，包含带有妥协指标的脉冲信息。
• AbuseIPDB：众包 IP 信誉数据库，包含来自全球网络管理员的滥用报告。
• GreyNoise：可识别扫描互联网的 IP 和定向攻击，有助于减少威胁检测中的误报。
• abuse.ch 项目：
  • URLhaus：恶意软件分发 URL 库。
  • MalwareBazaar：恶意软件样本库。
  • ThreatFox：IOC 共享平台。
  • Feodo Tracker：僵尸网络 C2 基础设施跟踪工具。

🤝 贡献说明

欢迎贡献代码！请参阅 CONTRIBUTING.md 了解贡献指南。

📄 许可证

本项目采用 MIT 许可证，详情请参阅 LICENSE。

🔗 相关链接

• 模型上下文协议
• MCP 规范
• GitHub 仓库

🚀 相关项目

如需更多威胁情报功能，可考虑以下项目：

• @burtthecoder/mcp-shodan - Shodan 互联网扫描工具
• @burtthecoder/mcp-virustotal - VirusTotal 恶意软件分析工具