mcp-threatintel

MCP 脅威インテリジェンスサーバー

セキュリティ調査や分析のため、複数の脅威インテリジェンスソースに統一された方法でアクセスできる MCP サーバーです。

選ばれる理由

セキュリティ調査、インシデント対応、脅威分析を行う際、この MCP サーバーを使うと次のことができます。

• 統合検索 - IP、ドメイン、ハッシュ、URLを複数のソースで同時に照会できます
• 画面切り替えを削減 - 異なるインテリジェンスソースごとに複数のブラウザータブを開く必要がありません
• インテリジェンスを相関分析 - 設定済みのすべてのソースの結果を1つの応答で確認できます
• 無料プランでも利用可能 - 無料の API プランで動作し、ソースが利用できない場合は適切に機能を縮退します
• キーなしで利用可能 - Feodo Tracker（ボットネットの C2）は API キーなしで動作します

機能

カテゴリ	機能
統合検索	すべてのソースで IP、ドメイン、ファイルハッシュ、URLを照会
AlienVault OTX	脅威パルス、侵害の痕跡、コミュニティインテリジェンス
AbuseIPDB	IP の評判、不正利用レポート、信頼度スコア
GreyNoise	インターネットノイズと標的型攻撃の判別、スキャナーの識別
abuse.ch	URLhaus、MalwareBazaar、ThreatFox、Feodo Tracker

前提条件

• Node.js 18+
• 利用する脅威インテリジェンスソースの API キー（以下を参照）

インストール

npm を使用する（推奨）

npx mcp-threatintel-server

または、グローバルにインストールします。

npm install -g mcp-threatintel-server

ソースからインストール

git clone https://github.com/aplaceforallmystuff/mcp-threatintel.git
cd mcp-threatintel
npm install
npm run build

設定

Claude Desktop の場合

Claude Desktop の設定ファイルに追加します。

macOS: ~/Library/Application Support/Claude/claude_desktop_config.json Windows: %APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "threatintel": {
      "command": "npx",
      "args": ["-y", "mcp-threatintel-server"],
      "env": {
        "OTX_API_KEY": "your-otx-api-key",
        "ABUSEIPDB_API_KEY": "your-abuseipdb-api-key",
        "GREYNOISE_API_KEY": "your-greynoise-api-key",
        "ABUSECH_AUTH_KEY": "your-abusech-auth-key"
      }
    }
  }
}

Claude Code の場合

~/.claude.json に追加します。

{
  "mcpServers": {
    "threatintel": {
      "command": "npx",
      "args": ["-y", "mcp-threatintel-server"],
      "env": {
        "OTX_API_KEY": "your-otx-api-key",
        "ABUSEIPDB_API_KEY": "your-abuseipdb-api-key",
        "GREYNOISE_API_KEY": "your-greynoise-api-key",
        "ABUSECH_AUTH_KEY": "your-abusech-auth-key"
      }
    }
  }
}

API キー

サービス	必須	無料プラン	キーの取得先
AlienVault OTX	任意	はい（無制限）	otx.alienvault.com
AbuseIPDB	任意	はい（1,000件/日）	abuseipdb.com
GreyNoise	任意	はい（制限あり）	greynoise.io
abuse.ch	任意	はい	auth.abuse.ch
Feodo Tracker	いいえ	はい	公開 JSON フィード

注: ツールは、指定された API キーに応じて動的に有効になります。Feodo Tracker は認証なしで動作します（公開 JSON フィード）。

使用例

利用可能なソースを確認

「どの脅威インテリジェンスソースが設定されていますか？」

「脅威インテリジェンスのステータスを表示して」

IP の調査

「185.220.101.1 が悪意のあるものか確認して」

「この IP をすべての脅威インテリジェンスソースで調べて」

ドメイン分析

「evil-domain.com は悪意のあるドメインとして知られていますか？」

「ドメインの評判を確認して」

マルウェアハッシュの検索

「この SHA256 ハッシュを脅威インテリジェンスで調べて」

「このファイルハッシュは既知のマルウェアですか？」

URL 分析

「この URL がいずれかのブロックリストに登録されているか確認して」

ボットネットの追跡（API キー不要）

「稼働中のボットネット C2 サーバーを表示して」

「Emotet の Feodo Tracker データを取得して」

脅威パルス

「最近のランサムウェアパルスを OTX で検索して」

「最新の脅威インテリジェンスパルスを取得して」

利用可能なツール

ステータス

ツール	説明
threatintel_status	設定されている脅威インテリジェンスソースを確認

統合ルックアップ

ツール	説明
threatintel_lookup_ip	設定済みのすべてのソースから IP を検索します
threatintel_lookup_domain	設定済みのすべてのソースからドメインを検索します
threatintel_lookup_hash	ソースからファイルハッシュ（MD5/SHA1/SHA256）を検索します
threatintel_lookup_url	ソースから URL を検索します

AbuseIPDB（API キーが必要）

ツール	説明
abuseipdb_check	IP のレピュテーションと不正利用履歴を確認します

AlienVault OTX（API キーが必要）

ツール	説明
otx_get_pulses	最近の脅威インテリジェンスパルスを取得します
otx_search_pulses	キーワードでパルスを検索します

GreyNoise（API キーが必要）

ツール	説明
greynoise_ip	IP がインターネット上のノイズか、標的型脅威かを確認します

URLhaus（abuse.ch 認証キーが必要）

ツール	説明
urlhaus_lookup	URLhaus で URL、ドメイン、または IP を検索します
urlhaus_recent	最近のマルウェア URL を取得します

MalwareBazaar（abuse.ch 認証キーが必要）

ツール	説明
malwarebazaar_hash	ハッシュでマルウェアサンプルを検索します
malwarebazaar_recent	最近のマルウェアサンプルを取得します
malwarebazaar_tag	タグでサンプルを検索します

ThreatFox（abuse.ch 認証キーが必要）

ツール	説明
threatfox_iocs	ThreatFox から最近の IOC を取得します
threatfox_search	ThreatFox の IOC を検索します

Feodo Tracker（キー不要）

ツール	説明
feodo_tracker	活動中のボットネット C2 サーバーを取得します（QakBot、Emotet、Dridex など）

開発

# Watch mode for development
npm run watch

# Build TypeScript
npm run build

# Run locally
node dist/index.js

トラブルシューティング

「脅威インテリジェンスのソースが設定されていません」

API キーがなくてもサーバーを使用できます。Feodo Tracker は引き続き利用できます。その他のソースを利用するには、設定に適切な API キーを追加してください。

「API エラー：401 Unauthorized」

API キーが無効か、期限切れです。該当するサービスで新しいキーを生成してください。

「API エラー：429 Too Many Requests」

サービスのレート制限を超過しました。しばらく待つか、API プランをアップグレードしてください。

結果が一部のみ返される場合

一部のソースでエラーが発生しても、統合ルックアップツールは正常に動作するソースから結果を返します。threatintel_status を確認し、どのソースが正しく設定されているかを確認してください。

データソース

AlienVault OTX

Open Threat Exchange は、侵害の痕跡を含むパルスを提供する、コミュニティ主導の脅威インテリジェンスプラットフォームです。

AbuseIPDB

世界中のネットワーク管理者から寄せられた不正利用レポートを集約した、IP レピュテーションデータベースです。

GreyNoise

インターネットをスキャンしている IP と標的型攻撃を識別します。脅威検知における誤検知の削減に役立ちます。

abuse.ch プロジェクト

• URLhaus - マルウェア配布 URL
• MalwareBazaar - マルウェアサンプルリポジトリ
• ThreatFox - IOC 共有プラットフォーム
• Feodo Tracker - ボットネット C2 インフラストラクチャの追跡

コントリビューション

コントリビューションを歓迎します！ガイドラインについては、CONTRIBUTING.md をご覧ください。

ライセンス

MIT - 詳細は LICENSE をご覧ください。

リンク

• Model Context Protocol
• MCP Specification
• GitHub Repository

関連プロジェクト

脅威インテリジェンス機能をさらに活用するには、以下をご検討ください。

• @burtthecoder/mcp-shodan - Shodan によるインターネットスキャン
• @burtthecoder/mcp-virustotal - VirusTotal によるマルウェア分析