BlackDome Threat Intel

BlackDome MCP サーバー

AI エージェントからリアルタイムのハニーポット脅威インテリジェンスに直接アクセスできます。Claude、Cursor、または MCP 互換クライアントから、攻撃者の IP を検索し、侵害の痕跡（IOC）を閲覧し、取得した認証情報やマルウェアのペイロードを調査し、脅威アクターのプロファイルを確認して、リアルタイムの世界規模の攻撃マップを表示できます。

多くのツールは無料で、API キーも不要です（パブリックコミュニティティア）。一部の価値の高いインテリジェンスには有料プランが必要です。

クイックスタート

オプション 1 — クラウド MCP（推奨、インストール不要）

URL は 1 つだけで、リモート MCP に対応するすべてのクライアント（Claude Desktop、claude.ai の Web アプリ、モバイル、Cursor）で動作します。

https://api.blackdome.ai/mcp

無料ツールはキーなしで使用できます。有料ティア（認証情報インテリジェンス、ペイロード、脅威アクター、ウォーボード、STIX エクスポート）を利用するには、https://blackdome.ai/pricing で API キーを取得し、Authorization ヘッダーとして追加してください。

{
  "mcpServers": {
    "blackdome-cloud": {
      "url": "https://api.blackdome.ai/mcp",
      "headers": {
        "Authorization": "Bearer bd_your_key_here"
      }
    }
  }
}

オプション 2 — ローカルで実行する

uvx（uv の一部）を使用します。別途インストールする必要がなく、PATH の問題も発生せず、必要に応じてサーバーを取得して実行します。

uvx blackdome-mcp

固定インストールを希望する場合は、pip install blackdome-mcp も使用できます。ただし、クライアントに「command not found」と表示される場合は、下部のトラブルシューティング項目を確認してください。

無料のパブリックツールはAPI キーなしで利用できます。有料ティアを利用するには、https://blackdome.ai/pricing でキーを取得してください。

Claude Desktop

claude_desktop_config.json に次の設定をマージし、macOS では ~/Library/Application Support/Claude/、Windows では %APPDATA%\Claude\ に配置してから、Claude を再起動してください。

{
  "mcpServers": {
    "blackdome": {
      "command": "uvx",
      "args": ["blackdome-mcp"],
      "env": {
        "BLACKDOME_API_KEY": "bd_your_key_here"
      }
    }
  }
}

env ブロックは省略可能です。BLACKDOME_API_KEY を省略すると、無料のパブリックツールのみで実行されます。

Claude Code

コマンドを 1 つ実行するだけです。キーは MCP 設定に保存されるため、シェルでエクスポートし続ける必要はありません（通常の export BLACKDOME_API_KEY=... はそのターミナルセッションでのみ有効で、次のセッションでは有料ツールが使えなくなります）。

claude mcp add blackdome -e BLACKDOME_API_KEY=bd_your_key_here -- uvx blackdome-mcp

無料ツールのみを使用する場合：

claude mcp add blackdome -- uvx blackdome-mcp

Cursor

~/.cursor/mcp.json（グローバル）または .cursor/mcp.json（プロジェクトごと）に追加してください。

{
  "blackdome": {
    "command": "uvx",
    "args": ["blackdome-mcp"],
    "env": {
      "BLACKDOME_API_KEY": "bd_your_key_here"
    }
  }
}

API キーの動作

• キーなし： 無料のコミュニティツールは使用できます。有料ツールは明示的な 401 を返します。
• 無効なキー： 有料ツール（および whoami）は 401 Invalid API key を返して明確に失敗します。無料ティアの結果へのサイレントフォールバックはありません。無料ツールはキーの有効性にかかわらず引き続き使用できます。
• 期限切れのキー／キャンセル済みのプラン： 403 API key has expired ／ 403 Tenant account is inactive が返されます。データが劣化するのではなく、明示的なエラーになります。
• 有効なキー、対象外のプラン： プランに含まれない機能を使うツールは、明示的な 403 を返します。付与されている機能は、いつでも whoami で確認できます。

有料ツールの結果が期待より少ない場合は、まず whoami を実行してください。プラン、機能、現在のクォータが表示されます。

利用可能なツール

無料ツールはキーなしで利用できます。有料ツールには、記載された機能が含まれるプランの API キーが必要です。

ツール	プラン	説明
lookup_attacker_ip	無料	攻撃者 IP 1 件の詳細情報 — イベント、プロトコル、認証情報（パスワードはマスク済み）、MITRE、エッジノード
top_attackers	無料	指定期間で最も活発な攻撃者 IP — 1 件選んで詳しく調査できます
attack_map	無料	ライブマップ用の最近の位置情報付き攻撃イベント（上限 ≥ 10）
attack_heatmap	無料	国別に集計された攻撃ヒートマップと重心（上限 ≥ 5）
credential_preview	無料	最近の認証情報のサンプル（サーバー側でマスク済み）＋概要の合計
verify_sigil	無料	BlackDome Sigil／監査レコードを ID で検証
recent_iocs	無料	最近の編集済み IOC を閲覧 — タイプ／深刻度でフィルタリング（コミュニティ向けは 72 時間遅延、上限 25 行）
ioc_trends	無料	IOC の集計トレンド — 合計、内訳、日別の新規件数、上位 MITRE
export_iocs	無料（json/csv）· Pro（stix）	IOC フィードをエクスポート。STIX バンドルには stix_export 機能が必要です
search_credentials	Enterprise（credential_intel）	平文パスワードを含むグローバルな認証情報コーパスを検索
credential_stats	Enterprise（credential_intel）	認証情報の統計を集計 — 上位のユーザー名／パスワード、内訳
list_payloads	Pro（api_access）	取得されたマルウェアペイロードを一覧表示、または sha256 で 1 件取得（VT/MB のインテリジェンス）
get_actor	Pro（api_access）	クラスタリングされた脅威アクターを一覧表示、または 1 件のアクターのセッションを取得
warboard	Pro（api_access）	侵入のナラティブと攻撃者のコマンド履歴を含む Sigil ランキング
list_notable_sessions	Enterprise（session_intel）	ボットネットのノイズから抽出された、手動で選別された注目度の高い攻撃者セッションをランキング表示
get_session_transcript	Enterprise（session_intel）	1 件の攻撃者セッションについて、コマンド／出力の構造化されたトランスクリプトを取得
list_detonations	Pro（detonation_intel）	判定、Magika ラベル、IOC 件数を含むマルウェアのデトネーション一覧
get_detonation_report	Pro（detonation_intel）	挙動、IOC、アーティファクト分類、レポートの利用可否を含む詳細なデトネーションレポート
get_artifact	Pro（detonation_intel）	関連するデトネーション、IOC、セッション識別子のみを含むアーティファクトの詳細情報
whoami	すべてのキー	テナント、プラン、機能、現在のクォータを確認

プラン： Community（無料）→ Analyst（$49、リアルタイムのインテリジェンス）→ Pro（$299、stix_export、api_access、detonation_intel を追加）→ Enterprise（$2000、credential_intel、bulk_api、session_intel を追加）→ OEM（$5000）。料金をご覧ください。

プロンプトの例

接続したら、AI アシスタントに次のように尋ねてみてください。

• 「今月、ハニーポットを攻撃している攻撃者の上位を教えてください。」
• 「攻撃者 IP 176.65.139.56 を調べて、どのような攻撃を試みたか要約してください。」
• 「先週の最新の悪意のある sha256 IOC を表示してください。」
• 「IOC のトレンドはどうなっていますか — どの MITRE テクニックが急増していますか？」
• 「攻撃元のヒートマップを表示してください。」
• 「SIEM に読み込めるよう、IOC フィードを CSV でエクスポートしてください。」
• 「現在のプランと利用可能な機能を教えてください。」（whoami を実行）
• 「取得された SSH 認証情報から、ユーザー名 root を検索してください。」（有料）
• 「今週、手動で選別された最も活発な攻撃者セッションを表示してください。」（Enterprise）
• 「sha256 a6713518f2e26745683d33ded61b465d0645d7af850464c559fba8bb84e68398 のデトネーションレポートを取得してください。」（Pro）

環境変数

ローカル（stdio）サーバーのみ — クラウドエンドポイントでは、キーを Authorization: Bearer ヘッダーとして渡します。

変数	必須	デフォルト	説明
BLACKDOME_API_KEY	いいえ	—	Bearer API キー。無料ツールはキーなしで利用できます。有料ツールにはキーが必要です
BLACKDOME_BASE_URL	いいえ	https://api.blackdome.ai	API ベース URL
BLACKDOME_TIMEOUT	いいえ	15	リクエストのタイムアウト（秒）

レート制限

無料のコミュニティプランでは、1 分あたり約 30 リクエスト、1 日あたり 100 リクエストに制限されており、コミュニティ IOC データには72 時間の鮮度遅延があります。有料プランではこれらの制限が大幅に引き上げられます（Enterprise：1 分あたり 1000 リクエスト、1 日あたり 50,000 リクエスト）。制限に達すると、サーバーは再試行までの時間を明示した 429 エラーを返します。whoami を使用すると、現在の利用枠を確認できます。

トラブルシューティング

• GUI クライアントで「command not found」と表示される場合： GUI アプリはシェルの PATH を読み込みません。最も簡単な解決方法は、上記のように "command": "uvx", "args": ["blackdome-mcp"] を使用することです。代わりに pip でインストールした場合は、which blackdome-mcp（macOS/Linux）または where blackdome-mcp（Windows）を実行し、表示されたフルパスを command フィールドに貼り付けてください。
• 有料ツールで 401/403 が返される場合： API Key Behavior を参照してください。エラーは明示的に表示され、whoami でキーが許可する内容を正確に確認できます。

セキュリティ

• 読み取り専用です。 すべてのツールは GET リクエストであり、サーバーが BlackDome のデータを変更することはありません。
• 無料プランではキー不要です。 公開ツールは API キーを必要とせず、コミュニティプランのデータのみを公開します。
• 認証情報はマスキングされます。 無料の lookup_attacker_ip ツールは、取得したパスワードを ******** にマスキングしてから返します。credential_preview はサーバー側でマスキングされます。平文のパスワードを返すのは、credential_intel 機能が必要な有料の search_credentials ツールのみです。
• シークレットはローカルに保持されます。 API キーは環境から読み込まれ、HTTPS 経由で BlackDome API にのみ送信されます。MCP サーバーにデータは保存されず、BlackDome に直接プロキシします。

ライセンス

MIT