Wiremcp

🚀 WireMCP 中文版

WireMCP 是一款模型上下文协议（MCP）服务器，主要用于增强大规模语言模型（LLMs）在实时网络流量分析方面的能力。它借助基于 Wireshark 的 tshark 工具构建实用工具，可捕捉并处理实时网络数据，为 LLMs 提供结构化上下文信息，助力其完成威胁狩猎、网络诊断和异常检测等任务。

✨ 主要特性

WireMCP 为 MCP 客户端提供了以下工具，以增强 LLM 对网络活动的理解：

• capture_packets：捕获实时流量，并以 JSON 格式返回原始包数据，便于 LLM 分析包级别的细节，如 IP 地址、端口、HTTP 方法等。
• get_summary_stats：提供协议层次的统计信息，让 LLM 了解流量构成的概况，例如 TCP 和 UDP 的使用情况。
• get_conversations：返回 TCP/UDP 会话统计信息，帮助 LLM 跟踪端点之间的通信流程。
• check_threats：捕获 IP 地址，并检查其在 URLhaus 黑名单中的状态，使 LLM 能够识别潜在威胁。
• check_ip_threats：对特定 IP 地址执行多源威胁情报查询，提供详细的声誉和威胁信息。
• analyze_pcap：分析 pcap 文件，并生成结构化输出，供 LLM 解释网络活动。
• generate_report：根据输入数据生成自然语言报告。

🚀 快速开始

如何帮助 LLMs

LLMs 可利用这些输出：

• 提供网络活动的自然语言解释。
• 识别模式和潜在安全问题。
• 提供上下文相关的建议。
• 生成易于理解的人类报告。

先决条件

• 操作系统：推荐使用 Linux 或 macOS。
• 已安装并配置 Wireshark 的 tshark 工具。
• 具备 Node.js 和 npm 环境。

📦 安装指南

1. 克隆 WireMCP 仓库：

git clone https://github.com/your-repository/wire-mcp.git

2. 安装依赖项：

cd wire-mcp
npm install

3. 启动服务器：

node index.js

使用说明

配置文件路径

• 示例配置文件路径：config.json

💻 使用示例

基础用法

# 示例命令
curl -X POST http://localhost:3000/api/capture-packets -d '{"interface":"eth0","duration":60}'

输出示例

捕获数据包输出

{
  "packets": [
    {
      "timestamp": "12:34:56.789",
      "source_ip": "192.168.1.1",
      "destination_ip": "192.168.1.2",
      "protocol": "TCP",
      "src_port": 1550,
      "dst_port": 23
    }
  ]
}

分析 pcap 文件输出

{
  "summary": {
    "total_packets": 1000,
    "unique_hosts": 5,
    "traffic_volume": "1.2 MB"
  },
  "threats": [],
  "diagnostics": {
    "highest_bandwidth_usage": "192.168.1.3:80 (HTTP)",
    "inactive_interfaces": []
  }
}

📚 详细文档

路线图

• 扩展 IOC 数据源：目前仅使用 URLhaus 进行威胁检查，未来计划整合更多来源（如 IPsum、Emerging Threats），以扩大覆盖范围。
• 增强报告功能：改进生成的自然语言报告，增加图表和可视化元素。
• 优化性能：提升大规模数据处理效率。

贡献

欢迎贡献！请随时提交 Pull Request。对于重大更改，请先打开问题讨论您想修改的内容。

📄 许可证

MIT

致谢

• 感谢 Wireshark/tshark 团队提供的出色包分析工具。
• 感谢 Model Context Protocol 社区制定的框架和规范。
• 感谢 URLhaus 提供的威胁情报数据。