Cybersecurity Intelligence

サイバーセキュリティインテリジェンス MCP サーバー

ApifyForgeで見る | Apify Storeで使用する

---

クイックスタート

MCP クライアント（Claude Desktop、Cursor、Windsurf）に追加します：

{
  "mcpServers": {
    "cybersecurity-intelligence-mcp": {
      "url": "https://ryanclinton--cybersecurity-intelligence-mcp.apify.actor/mcp"
    }
  }
}

---

AI エージェント向けのサイバーセキュリティインテリジェンス — 200,000 件以上の CVE を検索し、CISA の悪用が確認された脆弱性カタログを確認し、Certificate Transparency 経由でサブドメインを列挙し、DNS とメールセキュリティを監査し、Censys 経由でインターネットに公開されたホストをスキャンし、ドメイン登録情報を調査できます。すべてを単一の MCP サーバーから利用できます。アクティブスキャンを行わず、構造化された脅威インテリジェンスを必要とするセキュリティエンジニア、ペネトレーションテスター、AI を活用したワークフロー向けに構築されています。

Claude Desktop、Cursor、または MCP 互換クライアントに一度接続するだけで、AI は CVE の影響を調査し、ドメインの攻撃対象領域を分析し、サブドメインをマッピングし、必要に応じてリスクスコア付きのセキュリティ評価を作成できます。8 つのツールが、6 つの信頼性の高い公開データソース（NIST NVD、CISA KEV、Censys、crt.sh Certificate Transparency ログ、DNS／メールセキュリティレコード、WHOIS／RDAP 登録データ）を活用します。

⬇️ 抽出できるデータ

データ項目	ソース	例
📋 CVE ID、説明、CVSS スコア	NIST NVD	CVE-2021-44228、CVSS 10.0 CRITICAL
⚔️ 攻撃ベクトルと攻撃の複雑さ	NIST NVD	NETWORK / LOW
🔍 CWE の弱点分類	NIST NVD	CWE-502（デシリアライゼーション）
🚨 現在悪用されている脆弱性のフラグ	CISA KEV	knownRansomwareCampaignUse: "Known"
🗓️ パッチ適用義務の KEV 期限	CISA KEV	2022-05-04（連邦機関）
🌐 インターネットに公開されたホストと開放ポート	Censys	192.0.2.14:3306（MySQL が公開）
🔒 ドメインごとの SSL／TLS 証明書履歴	crt.sh CT Logs	証明書 847 件、固有のサブドメイン 134 件
📡 A、AAAA、MX、NS、TXT、CNAME、SOA レコード	DNS ルックアップ	a.example.com → 93.184.216.34
🛡️ SPF、DMARC、DKIM によるメールセキュリティ監査	DNS ルックアップ	DMARC: p=reject、SPF: pass
🏢 ドメインレジストラ、登録日、経過期間	WHOIS／RDAP	2003-01-01 に登録、経過 8,115 日
⏳ ドメインの有効期限と期限までの日数	WHOIS／RDAP	2027-01-01 に期限切れ、652 日
⚠️ 重大度ラベル付きリスク指標	ドメインインテリジェンス	ALERT、WARNING、CRITICAL、INFO

サイバーセキュリティインテリジェンス MCP サーバーを使う理由

現在のサイバーセキュリティ調査では、NVD での CVE 検索、CISA の KEV カタログでの悪用状況の確認、crt.sh での証明書列挙、WHOIS ツール、MX ルックアップツール、Censys でのホスト調査など、5～6 個のブラウザータブを切り替える必要があります。各検索は手作業で、コピー＆ペーストが多く、解釈が必要な生データが出力されます。ベンダー評価を 1 件行うだけでも、実用的な全体像を把握するまでに 30～45 分かかることがあります。

この MCP サーバーは、AI クライアントがツールとして呼び出せる統合インターフェースを通じて、6 つすべてのデータソースを提供します。Claude に「Apache に影響し、現在悪用されている脆弱性は何ですか？」と尋ねると、NVD と CISA KEV を照会し、結果を相互参照して、優先順位付きの一覧を 30 秒未満で提示します。cyber_domain_intelligence ツールは DNS、WHOIS、SSL、KEV のチェックを並行して実行し、ラベル付き指標を含むリスクスコア付きの概要を返します。

• スケジュール設定 — Apify プラットフォームの cron スケジューリングで定期的なセキュリティ評価を実行し、脅威インテリジェンスを最新の状態に保ちます
• API アクセス — Apify トークンを使って、Python、JavaScript、または任意の HTTP クライアントから実行をトリガーします
• モニタリング — 実行に失敗したときや、予期しない結果が返されたときに Slack またはメールで通知を受け取ります
• 連携 — 結果を Zapier、Make、Google Sheets、HubSpot、またはカスタム Webhook に送ります
• 支出管理 — 実行ごとの予算上限を設定し、AI エージェントがコストのしきい値を超えないようにします

機能

• NIST NVD CVE 検索 — キーワード、直接指定した CVE ID、CPE 製品文字列、CVSS v3 の深刻度（CRITICAL／HIGH／MEDIUM／LOW）、公開日の範囲で、公開済みの 200,000 件以上の CVE を検索します。CVSS 基本スコア、攻撃ベクトル、攻撃の複雑さ、必要な権限、ユーザー操作、およびすべての CWE 弱点 ID を返します
• CISA KEV カタログ — 実環境で積極的に悪用されている CVE の確定リストを検索します。ベンダー、製品、追加日、ランサムウェアキャンペーンとの関連で絞り込み、連邦政府のパッチ適用期限と knownRansomwareCampaignUse フラグを返します
• Censys インターネットホストスキャン — 構造化検索式を使って Censys の IPv4 スキャンデータを検索し、外部に公開されたサービス、開いているポート、インフラストラクチャを見つけます。無料の Censys API 認証情報（月 250 クエリの無料枠）に対応しており、認証情報がない場合はデモデータを返します
• Certificate Transparency 列挙 — crt.sh を検索し、あるドメインに発行された SSL/TLS 証明書をすべて取得します。重複排除モード（サブドメインごとに 1 行）または完全な証明書履歴モード（証明書ごとに 1 行）で実行できます。認証情報は不要です
• アクティブなサブドメイン数と鮮度 — 各サブドメインの結果には isActive、lastSeen、certificateCount フィールドが含まれるため、稼働中のインフラストラクチャと過去の痕跡を区別できます
• DNS レコード列挙 — 1 回の呼び出しで最大 50 ドメインの A、AAAA、MX、NS、TXT、CNAME、SOA レコードを取得します
• メールセキュリティ監査 — SPF レコードの有無とポリシー、DMARC レコードと適用ポリシー、および一般的な 10 個のセレクター（google、default、selector1、selector2、mail、dkim、k1、k2、s1、s2）における DKIM を確認します。各ドメインについて hasEmailSecurity ブール値を報告します
• WHOIS/RDAP ドメインインテリジェンス — レジストラ、作成日、有効期限、日数単位の domainAge、日数単位の expiresIn、ネームサーバー、DNSSEC の状態、ドメインステータスのフラグ（clientDeleteProhibited など）を返します
• 統合ドメインインテリジェンス — cyber_domain_intelligence は Promise.all を使って DNS、WHOIS、SSL、およびオプションの KEV/NVD チェックを並列実行し、構造化されたリスクプロファイルを作成します。さらに、ドメインの経過日数のしきい値、メールセキュリティの不備、DNSSEC の状態、KEV との一致、CVE の深刻度に基づいて、ラベル付きのリスク指標（CRITICAL、WARNING、ALERT、INFO）を自動生成します
• リスク指標エンジン — 登録から 30 日未満のドメインをフィッシングリスク CRITICAL として自動的にフラグ付けし、登録から 30～180 日のドメインには WARNING のフラグを付けます。また、ランサムウェア件数とともに KEV との一致を警告します
• KEV 相互参照用のベンダー推定 — ドメインインテリジェンスツールは、ドメインの最初のラベル（例：apache.org から「apache」）を抽出し、ベンダー関連の悪用脆弱性を調べるために CISA KEV を自動的に検索します
• イベント単位の支出制御 — すべてのツール呼び出しで、イベント固有の予算ゲートを使って Actor.charge() を確認します。設定された支出上限に達した場合、それ以上コストが発生し続けることなく、実行を適切に停止します
• リクエストごとにステートレスなサーバー — /mcp への各 POST で新しい McpServer と StreamableHTTPServerTransport のペアを作成し、AI エージェントのリクエスト間でセッションが混在しないようにします

サイバーセキュリティインテリジェンスのユースケース

脆弱性管理とパッチ適用の優先順位付け

パッチ適用サイクルを担当するセキュリティエンジニアは、NVD を検索してソフトウェアスタックに影響する CVE を調べた後、直ちに CISA KEV と相互参照し、実環境で積極的に悪用されている脆弱性を特定します。MCP サーバーを使うと、AI エージェントはこの 2 つの情報源の相互参照を 1 回の会話ターンで実行でき、KEV の適用期限を含む深刻度順のリストを返します。そのため、チームは手動でタブを切り替えることなく、パッチ適用の優先順位を決められます。

攻撃対象領域とサブドメインの調査

レッドチームやバグバウンティハンターは、Certificate Transparency ログでこれまでに観測されたすべてのサブドメインを列挙するため、cyber_ssl_certificates を deduplicate: true で実行します。DNS のブルートフォースとは異なり、この方法は完全に受動的で、アクティブスキャンは不要です。結果には isActive ステータスが含まれるため、アナリストは稼働中のサブドメインと過去の記録をすぐに見分け、稼働中のものに集中できます。

フィッシングドメインとブランド保護の調査

不審なドメインを調査する脅威インテリジェンスアナリストは、cyber_domain_intelligence を実行して、迅速にリスクプロファイルを取得します。これには、ドメインの登録期間（登録から間もないドメインには CRITICAL フラグが付く）、メールのなりすましやすさ（SPF／DMARC の不備）、DNSSEC のステータス、証明書の履歴が含まれます。WHOIS による登録期間の情報と CT ログの列挙結果を組み合わせることで、類似したサブドメインや証明書パターンを使って、正規のブランドを模倣しているドメインかどうかが分かります。

ベンダーとサードパーティのリスク評価

調達チームやベンダーリスク管理チームは、サプライヤーのオンボーディング前にドメインインテリジェンスチェックを実行して、セキュリティ態勢を評価します。このツールは、メールセキュリティの設定（セキュリティ成熟度の目安）、ベンダーの技術スタックに関連する既知の悪用済み脆弱性、ドメイン登録の安定性を報告します。ベンダーの内部システムへのアクセスは不要です。

セキュリティを考慮した AI エージェントのワークフロー

IT 運用、SOC 自動化、脅威ハンティング向けの AI エージェントを開発するチームは、この MCP サーバーをサイバーセキュリティインテリジェンスレイヤーとして組み込みます。エージェントは、アラートで報告された CVE が CISA KEV カタログに掲載されているかを自動で確認し、影響を受けるドメインのサブドメインを列挙して、トリアージの要約を作成できます。エージェントのコードに API 連携をハードコードする必要はありません。

コンプライアンス対応のメールセキュリティ監査

数十の自社ドメインにわたって SPF、DMARC、DKIM の設定を監査するコンプライアンスチームは、cyber_dns_lookup を check_email_security: true で実行し、1 回の呼び出しにつき最大 50 個のドメインの配列を渡します。要約レスポンスには、レポートにすぐ利用できる domainsWithEmailSecurity と domainsWithoutEmailSecurity の件数が含まれます。

この MCP サーバーへの接続方法

Claude Desktop

Claude Desktop の設定ファイル（macOS では ~/Library/Application Support/Claude/claude_desktop_config.json）に、以下を追加します。

{
  "mcpServers": {
    "cybersecurity-intelligence": {
      "url": "https://cybersecurity-intelligence-mcp.apify.actor/mcp",
      "headers": {
        "Authorization": "Bearer YOUR_APIFY_TOKEN"
      }
    }
  }
}

YOUR_APIFY_TOKEN を、Apify コンソールで取得したトークンに置き換えてください。

Cursor、Windsurf、その他の MCP クライアント

同じエンドポイントを指定した同じ設定ブロックを使用してください。Streamable HTTP トランスポートに対応するクライアントであれば、Authorization: Bearer YOUR_APIFY_TOKEN を使って https://cybersecurity-intelligence-mcp.apify.actor/mcp に接続できます。

プログラムからの利用（HTTP）

curl -X POST "https://cybersecurity-intelligence-mcp.apify.actor/mcp" \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer YOUR_APIFY_TOKEN" \
  -d '{
    "jsonrpc": "2.0",
    "method": "tools/call",
    "params": {
      "name": "cyber_domain_intelligence",
      "arguments": { "domain": "suspicious-vendor.io", "check_exploited": true }
    },
    "id": 1
  }'

利用可能な MCP ツール

ツール	ソース	説明
cyber_search_vulnerabilities	NIST NVD	キーワード、CVE ID、CPE、深刻度、期間で CVE を検索します。CVSS スコア、攻撃ベクトル、CWE を返します。
cyber_exploited_vulnerabilities	CISA KEV	ランサムウェアとの関連情報と連邦政府のパッチ適用期限を含む、既知の悪用中 CVE を返します。
cyber_search_hosts	Censys	サービス、ポート、場所、証明書のサブジェクトで、インターネットに接続されたホストを検索します。
cyber_ssl_certificates	crt.sh	CT ログから、ドメインのすべての SSL/TLS 証明書を取得します。サブドメインの調査や証明書履歴全体の確認に利用できます。
cyber_dns_lookup	システム DNS	最大 50 個のドメインについて、A、AAAA、MX、NS、TXT、CNAME、SOA レコードに加えて SPF、DMARC、DKIM を取得します。
cyber_whois_lookup	RDAP/WHOIS	最大 50 個のドメインについて、ドメイン登録情報、レジストラ、登録期間、有効期限、ネームサーバー、DNSSEC を取得します。
cyber_domain_intelligence	上記すべて	リスク指標を自動生成し、ドメインのセキュリティを並列で評価します。
cyber_list_sources	—	このサーバーで利用可能なすべてのツールとデータソースを一覧表示します。

ツールの入力パラメーター

cyber_search_vulnerabilities

パラメーター	型	必須	デフォルト	説明
keyword	string	いいえ	—	CVE の説明を検索します（例：「log4j」、「リモートコード実行」）
cve_id	string	いいえ	—	CVE ID を直接検索します（例：「CVE-2021-44228」）。keyword より優先されます
cpe_name	string	いいえ	—	CPE 製品フィルター（例：「cpe:2.3:a:apache:log4j」）
severity	enum	いいえ	—	CVSS v3 の深刻度：CRITICAL、HIGH、MEDIUM、LOW
date_from	string	いいえ	—	公開開始日 YYYY-MM-DD
date_to	string	いいえ	—	公開終了日 YYYY-MM-DD
exact_match	boolean	いいえ	false	keyword に対する完全一致フレーズ検索、または任意の単語による検索
max_results	integer	いいえ	50	最大結果数（1～500）。値が大きいと、NVD のレート制限により処理が遅くなります

cyber_exploited_vulnerabilities

パラメーター	型	必須	デフォルト	説明
query	string	いいえ	—	CVE ID、ベンダー、製品、名前、説明を検索します
vendor	string	いいえ	—	ベンダー名（例：「Microsoft」、「Apache」、「Citrix」）
product	string	いいえ	—	製品名（例：「Exchange Server」、「Log4j」）
date_added_from	string	いいえ	—	この日付以降に KEV に追加されたもの YYYY-MM-DD
date_added_to	string	いいえ	—	この日付以前に KEV に追加されたもの YYYY-MM-DD
ransomware_only	boolean	いいえ	false	既知のランサムウェアキャンペーンに関連付けられた CVE のみを返します
max_results	integer	いいえ	50	最大結果数（1～1000）

cyber_search_hosts

パラメーター	型	必須	デフォルト	説明
query	string	はい	—	Censys の検索式（例：「services.port: 3306 AND location.country: US」）
censys_api_id	string	いいえ	—	censys.io の Censys API ID。省略するとデモデータを返します
censys_api_secret	string	いいえ	—	Censys API Secret
max_results	integer	いいえ	25	最大結果数（1～100。Censys の無料プランの上限：100）

cyber_ssl_certificates

パラメーター	型	必須	デフォルト	説明
domain	string	はい	—	検索するドメイン（例：「acmecorp.com」）
include_expired	boolean	いいえ	true	期限切れの証明書を含めます
include_subdomains	boolean	いいえ	true	ワイルドカードプレフィックスを使ってサブドメインを検索します
deduplicate	boolean	いいえ	true	一意のサブドメインごとに 1 行（true）、または証明書ごとに 1 行（false）
max_results	integer	いいえ	100	最大結果数（1～5000）

cyber_dns_lookup

パラメーター	型	必須	デフォルト	説明
domains	array	はい	—	ドメインの配列（1～50）。例：["acmecorp.com", "subsidiary.io"]
record_types	array	いいえ	["A","AAAA","MX","NS","TXT","CNAME","SOA"]	クエリする DNS レコードタイプ
check_email_security	boolean	いいえ	true	SPF、DMARC、DKIM レコードを監査します

cyber_whois_lookup — domains（array、必須）：照会する 1～50 個のドメインの配列。

cyber_domain_intelligence

パラメーター	型	必須	デフォルト	説明
domain	string	はい	—	調査するドメイン（例：「suspicious-site.xyz」）
check_vulnerabilities	boolean	いいえ	false	このドメイン／製品に言及する CVE について NVD にも問い合わせます（所要時間が増加します）
check_exploited	boolean	いいえ	true	このドメインのベンダーに関連する悪用済み CVE がないか CISA KEV を確認します

出力例

cyber_search_vulnerabilities の出力

{
  "total": 3,
  "severityBreakdown": {
    "critical": 2,
    "high": 1,
    "medium": 0,
    "low": 0
  },
  "vulnerabilities": [
    {
      "cveId": "CVE-2021-44228",
      "description": "Apache Log4j2 2.0-beta9 through 2.14.1 JNDI features do not protect against attacker-controlled LDAP and other JNDI related endpoints...",
      "severity": "CRITICAL",
      "cvssScore": 10.0,
      "attackVector": "NETWORK",
      "attackComplexity": "LOW",
      "privilegesRequired": "NONE",
      "userInteraction": "NONE",
      "publishedDate": "2021-12-10",
      "lastModifiedDate": "2023-09-14",
      "cwes": ["CWE-502", "CWE-400", "CWE-20"],
      "references": [
        "https://nvd.nist.gov/vuln/detail/CVE-2021-44228",
        "https://logging.apache.org/log4j/2.x/security.html"
      ]
    }
  ]
}

cyber_exploited_vulnerabilities の出力

{
  "total": 2,
  "ransomwareLinked": 1,
  "entries": [
    {
      "cveID": "CVE-2021-44228",
      "vendorProject": "Apache",
      "product": "Log4j",
      "vulnerabilityName": "Apache Log4j2 Remote Code Execution Vulnerability",
      "dateAdded": "2021-12-10",
      "shortDescription": "Apache Log4j2 contains a remote code execution vulnerability...",
      "requiredAction": "Apply updates per vendor instructions.",
      "dueDate": "2021-12-24",
      "knownRansomwareCampaignUse": "Known",
      "notes": "Ransomware campaigns actively exploiting this vulnerability."
    }
  ]
}

cyber_domain_intelligence の出力

{
  "domain": "pinnacle-industries.io",
  "riskIndicators": [
    "CRITICAL: Domain is only 12 days old — very new domain, high phishing risk",
    "WARNING: No email security records found (no SPF, DMARC, or DKIM) — domain may be spoofable",
    "INFO: DNSSEC not enabled — domain is not protected against DNS spoofing",
    "ALERT: 3 known exploited vulnerabilities found for this vendor (1 ransomware-linked)"
  ],
  "dns": {
    "aRecords": ["198.51.100.14"],
    "mxRecords": ["mail.pinnacle-industries.io"],
    "spfRecord": null,
    "dmarcRecord": null,
    "dkimFound": false,
    "hasEmailSecurity": false
  },
  "whois": {
    "registrar": "NameCheap, Inc.",
    "createdDate": "2026-03-08",
    "expiryDate": "2027-03-08",
    "domainAge": 12,
    "expiresIn": 353,
    "nameservers": ["ns1.registrar-servers.com", "ns2.registrar-servers.com"],
    "dnssec": false,
    "status": ["clientTransferProhibited"]
  },
  "certificates": {
    "totalSubdomains": 3,
    "activeSubdomains": 3,
    "topSubdomains": [
      { "subdomain": "www.pinnacle-industries.io", "isActive": true, "lastSeen": "2026-03-09", "certificateCount": 1 },
      { "subdomain": "mail.pinnacle-industries.io", "isActive": true, "lastSeen": "2026-03-09", "certificateCount": 1 }
    ]
  },
  "exploitedVulnerabilities": {
    "total": 3,
    "entries": [
      {
        "cveID": "CVE-2023-44487",
        "vendorProject": "IETF",
        "product": "HTTP/2",
        "knownRansomwareCampaignUse": "Known",
        "dueDate": "2023-10-31"
      }
    ]
  }
}

cyber_ssl_certificates の出力（重複排除されたサブドメイン）

{
  "domain": "betaindustries.com",
  "totalSubdomains": 47,
  "activeSubdomains": 31,
  "subdomains": [
    { "subdomain": "www.betaindustries.com", "isActive": true, "lastSeen": "2026-02-14", "certificateCount": 12 },
    { "subdomain": "api.betaindustries.com", "isActive": true, "lastSeen": "2026-01-30", "certificateCount": 4 },
    { "subdomain": "staging.betaindustries.com", "isActive": false, "lastSeen": "2024-08-01", "certificateCount": 2 }
  ]
}

⬆️ 出力フィールド

cyber_search_vulnerabilities

Field	Type	Description
total	integer	返された CVE の数
severityBreakdown.critical	integer	重大度が CRITICAL の CVE の数
severityBreakdown.high	integer	重大度が HIGH の CVE の数
vulnerabilities[].cveId	string	CVE 識別子（例：CVE-2021-44228）
vulnerabilities[].severity	string	CRITICAL、HIGH、MEDIUM、または LOW
vulnerabilities[].cvssScore	number	CVSS v3 基本スコア（0.0～10.0）
vulnerabilities[].attackVector	string	NETWORK、ADJACENT、LOCAL、または PHYSICAL
vulnerabilities[].attackComplexity	string	LOW または HIGH
vulnerabilities[].privilegesRequired	string	NONE、LOW、または HIGH
vulnerabilities[].cwes	array	CWE の脆弱性識別子
vulnerabilities[].publishedDate	string	NVD の公開日
vulnerabilities[].references	array	参照 URL

cyber_domain_intelligence

Field	Type	Description
domain	string	正規化されたドメイン（http://、www.、パスを除去）
riskIndicators	array	ラベル付きのリスク文字列（CRITICAL、WARNING、ALERT、INFO）
dns.aRecords	array	IPv4 アドレス
dns.mxRecords	array	メール交換サーバーのレコード
dns.spfRecord	string or null	SPF TXT レコードの値全体
dns.dmarcRecord	string or null	DMARC TXT レコードの値全体
dns.dkimFound	boolean	10 個のセレクター全体で DKIM レコードが見つかったかどうか
dns.hasEmailSecurity	boolean	SPF、DMARC、DKIM のいずれかが見つかった場合は True
whois.domainAge	integer	ドメインの経過日数
whois.expiresIn	integer	ドメインの有効期限までの日数
whois.dnssec	boolean	DNSSEC が有効かどうか
certificates.totalSubdomains	integer	CT ログで見つかった一意のサブドメイン数
certificates.activeSubdomains	integer	有効な証明書を持つサブドメイン数
exploitedVulnerabilities.total	integer	推定されたベンダーの KEV エントリー数（check_exploited: true の場合に存在）

サイバーセキュリティインテリジェンスツールの利用料金はいくらですか？

この MCP サーバーはイベントごとの従量課金制で、ツール呼び出し 1 回あたり $0.045です。ツールの呼び出しごとに、結果のサイズにかかわらず 1 イベント分が課金されます。プラットフォームのコンピューティング費用も含まれています。

シナリオ	ツール呼び出し回数	1 回あたりの料金	合計料金
簡易テスト（単一の CVE 検索）	1	$0.045	$0.045
ドメイン評価（ドメインインテリジェンス）	1	$0.045	$0.045
7 つのツールを使った完全な調査	7	$0.045	$0.315
毎日のモニタリング（10 ドメイン）	10	$0.045	$0.45
毎週の脆弱性スキャン（CVE 検索 50 回）	50	$0.045	$2.25

費用を管理するため、実行ごとに最大支出額を設定できます。MCP サーバーは、課金が続くのではなく、予算に達すると適切に停止します。

Apify の無料枠には、毎月 $5 分のプラットフォームクレジットが含まれています。これは、毎月約 111 回のツール呼び出しを無料で利用できる金額です。同等のデータアクセスに月額 $500～2,000 を請求する商用の脅威インテリジェンスプラットフォームと比較してください。

Cybersecurity Intelligence MCP サーバーの仕組み

サーバーは Apify のスタンバイモードで実行されます。これは、リクエストの合間もプロセスが起動したままになるモードです。各 POST /mcp リクエストでは、新しい McpServer と StreamableHTTPServerTransport のペアがインスタンス化され（セッション ID は生成されません）、ツールを実行した後、レスポンスの close イベントで両方が閉じられます。AI エージェントのセッション間で状態が引き継がれることはありません。

各 MCP ツールは、actor-client.ts の runActor() ヘルパーを介して、専用の Apify actor に処理を委譲します。このヘルパーは、120 秒のタイムアウト（レート制限のため、NVD と CT ログのクエリでは 180 秒）で client.actor(actorName).call(input, { waitSecs, memory: 256 }) を呼び出し、その後 defaultDatasetId からアイテムを取得します。エラーが発生した場合は例外をスローせず空の配列を返すため、上流のソースが利用できなくても、ツール呼び出し全体を失敗させることなく適切に処理されます。

cyber_domain_intelligence ツールは Promise.all() を使って、3～5 個の actor を並列実行します。すべての結果が返された後、決定論的なルールエンジンが順に評価します。ドメインの経過日数のしきい値（30 日未満 = CRITICAL、30～180 日 = WARNING）、有効期限の切迫度、メールセキュリティの不備、DNSSEC の状態、CT ログのカバレッジ、ランサムウェアのサブカウントを含む KEV の一致件数を確認します。リスク指標には、重大度のプレフィックス（CRITICAL、WARNING、ALERT、INFO）が付加されます。check_exploited: true の場合、ツールは最初のドメインラベルをベンダー名として抽出し（例：citrix.com から「citrix」）、それに応じて CISA KEV にクエリを実行します。一般的な名前の場合は、他の出力に影響を与えることなく、結果を 0 件として返します。

最良の結果を得るためのヒント

1. 最初のツールには cyber_domain_intelligence を使用してください。 1 回の $0.045 の呼び出しで、DNS、WHOIS、SSL、KEV のチェックを並列実行します。個別のツールは、その後の詳細調査（例：証明書履歴全体、より広範な CVE 検索）に使用してください。

2. 優先順位付けには ransomware_only: true を有効にしてください。 CISA KEV のクエリでランサムウェアに関連する CVE に絞り込むと、何千件ものエントリーから、インシデント対応チームが P1 のパッチ適用義務として扱うべきものだけに絞り込めます。

3. 探索には exact_match: false、確認には true を使用してください。 exact_match: false で NVD のキーワード検索を行うと、クエリ内のいずれかの単語に言及する CVE が見つかるため、幅広い探索に役立ちます。誤検出を避け、特定の製品名に関する CVE が必要な場合は、true に切り替えてください。

4. DNS と WHOIS のツールには配列を渡してください。 cyber_dns_lookup と cyber_whois_lookup は、どちらも 1 回の呼び出しで最大 50 個のドメインを受け付けます。自社が所有する 50 個のドメインを監査する費用は合計 $0.045 で、単一ドメインの呼び出しと同じです。

5. 対象を絞った結果を得るには、サービスフィルターを使った Censys クエリを使用してください。 「location.country: US」のような広範なクエリは、すぐに無料プランの 100 件の結果上限に達します。サービスフィルターで絞り込んでください。services.service_name: SSH AND location.country: DE AND services.port: 22 を使うと、公開されている特定のインフラストラクチャを見つけられます。

6. 証明書のフォレンジック調査には deduplicate: false を設定してください。 特定のインシデントやドメイン乗っ取りを調査する際、デフォルトの重複排除済みサブドメイン表示から証明書履歴全体に切り替えると、すべての証明書発行イベント、発行機関、有効期間を確認できます。タイムラインの再構築に役立ちます。

7. check_vulnerabilities: true は必要な場合に限って設定してください。 cyber_domain_intelligence に NVD 検索を追加すると、並列 actor の呼び出しが 1 つ増え、NVD のレート制限により待ち時間が最大 180 秒長くなります。ベンダーに関連する KEV エントリーだけでなく、ドメイン名に言及する CVE が特に必要な場合に使用してください。

他の Apify アクターとの組み合わせ

アクター	組み合わせ方法
WHOIS Domain Lookup	大規模なドメインリストに対する一括ドメイン年齢チェック（1 回あたり 50 件）に直接使用し、ドメイン年齢リスクのスコアリングに利用します
DNS Record Lookup	すべての企業ドメインを対象に SPF／DMARC／DKIM の監査を単独で実行し、コンプライアンス報告用に結果を Google Sheets にエクスポートします
Censys Search	ベンダーのセキュリティレビュー前に、特定の IP 範囲または ASN のインターネット上での露出状況を照会します
Website Tech Stack Detector	対象ドメインで稼働しているソフトウェアスタックを検出し、検出されたテクノロジーを CPE 名として cyber_search_vulnerabilities に渡します
Website Contact Scraper	対象ドメインからセキュリティ連絡先のメールアドレスを収集し、アプローチ前にこの MCP の WHOIS 年齢情報と DNS データを使って高リスクドメインを特定します
Company Deep Research	企業のインテリジェンスプロファイルを作成し、セキュリティレイヤー用にその企業のドメインを cyber_domain_intelligence に渡します
crt.sh Certificate Search	大規模なエンタープライズのサブドメインマッピング向けに、証明書履歴を最大 5,000 件まで直接検索します

制限事項

• 完全に受動的なデータ収集 — アクティブスキャン、ポートプロービング、パケットインジェクションは行いません。このサーバーは、アクティブなペネトレーションテストにおいて Nmap、Nessus、Burp Suite などのツールの代わりにはなりません。
• NVD のレート制限 — NIST NVD API では、API キーなしの場合、30 秒あたり約 5 件のリクエストが許可されます。広い日付範囲や大きな max_results 値（200 以上）を指定すると、強制される遅延により完了まで数分かかります。
• Censys 無料プランのクォータ — Censys の無料プランでは、月あたり 250 件のクエリが許可されます。認証情報がない場合、cyber_search_hosts ツールは実際のスキャン結果ではなく、_dryRun フラグが付いたデモデータを返します。
• WHOIS 登録者のプライバシー — GDPR および ICANN のプライバシーサービスにより、近年登録されたドメインでは、登録者名、住所、連絡先メールアドレスはほぼ例外なく非公開になっています。ドメインの登録年齢とレジストラのデータは引き続き取得できます。
• DKIM セレクターの網羅性 — DNS ツールは、一般的な DKIM セレクターを 10 個チェックします。カスタムセレクターやサービス固有のセレクター（例：Mailchimp の k1、SendGrid の s1）を使用している組織では、すべてのセレクターが検出されない場合があります。dkimFound: false という結果は、DKIM が存在しないことを保証するものではありません。
• ベンダー推定の精度 — ドメインインテリジェンスツールは、最初のドメインラベルからベンダー名を推測します。一般的なドメイン（例：「cloud.company.com」）では、「cloud」ベンダーに関する無関係な KEV 結果が返されます。正確に照合するには、vendor パラメーターを明示して cyber_exploited_vulnerabilities を直接使用してください。
• CT ログの網羅性 — crt.sh は主要な Certificate Transparency ログをインデックス化していますが、すべてのログを網羅しているわけではありません。crt.sh がインデックス化していないログの証明書で保護されたサブドメインは表示されません。
• 過去の DNS データなし — DNS ルックアップでは、現在のライブレコードのみが返されます。過去の DNS 変更を追跡するには、Website Change Monitor と組み合わせてください。

インテグレーション

• Zapier — 調達システムに新しいベンダーが追加されたときにドメインインテリジェンスチェックを実行し、リスク指標を Slack に投稿します
• Make — CISA KEV を毎日照会し、新たに追加された悪用済み脆弱性の Jira チケットを作成する CVE トリアージの自動化ワークフローを構築します
• Google Sheets — 複数のドメインの DNS およびメールセキュリティ監査結果を、コンプライアンス管理用のスプレッドシートにエクスポートします
• Apify API — Python または JavaScript の CI/CD パイプラインからツールエンドポイントをプログラムで呼び出し、デプロイ前のセキュリティチェックを実行します
• Webhooks — スケジュールされた脆弱性スキャンで新しい CRITICAL または ALERT のリスク指標が検出されたときに、アラートを受け取ります
• LangChain / LlamaIndex — この MCP サーバーを、LLM を活用した SOC の自動化や脅威ハンティングエージェントにおけるサイバーセキュリティインテリジェンスのツールレイヤーとして組み込みます

❓ よくある質問

1 回の呼び出しで検索できる CVE の数はいくつですか？ max_results パラメーターを使用すると、1 回の呼び出しにつき最大 500 件の結果を取得できます。広い日付範囲をスキャンする場合、NVD のレート制限により、大量の結果セットの取得に 2～5 分かかることがあります。ほとんどのパッチ優先順位付けワークフローでは、深刻度フィルターを適用した 50～100 件の結果で十分です。

サイバーセキュリティインテリジェンス MCP はアクティブスキャンを実行したり、対象のインフラストラクチャにパケットを送信したりしますか？ いいえ。すべてのデータは公開ソースから受動的に収集されます。対象は NVD CVE データベース、CISA KEV カタログ、Censys のスキャンデータ（Censys が事前に収集したもので、クエリによって開始されるものではありません）、crt.sh の Certificate Transparency ログ、標準的な DNS 解決、WHOIS/RDAP エンドポイントです。対象システムにプローブが送信されることはありません。

ドメイン偵察にこのツールを使用することは合法ですか？ はい。使用するすべてのデータソースは公開されています。NVD、CISA KEV、crt.sh は政府または公益目的のデータベースです。DNS 解決と WHOIS 検索は、標準的なインターネットインフラストラクチャへのクエリです。Censys は独自にインターネットスキャンを実施し、そのデータを検索する API を提供しています。ウェブスクレイピングとデータ収集の合法性に関するガイダンスは、Apify のガイドをご覧ください。

CVE データはどのくらい新しいですか？ NVD のデータはクエリ時にライブで取得されるため、キャッシュによる遅延がなく、公開済みの最新 CVE が結果に反映されます。CISA KEV も同様にライブで取得されます。Censys のスキャンデータは、継続的に実施される最新のインターネット全体のスキャンを反映しています。

特定の CVE が現在悪用されているかどうかを確認できますか？ はい。cyber_exploited_vulnerabilities を query: "CVE-2024-XXXXX" とともに呼び出すか、CVE ID を query パラメーターに指定してください。CVE が CISA KEV カタログに含まれている場合、連邦政府のパッチ適用期限を示す dueDate と、knownRansomwareCampaignUse フラグが返されます。

Shodan やその他の商用脅威インテリジェンスプラットフォームとはどう違いますか？ Shodan、GreyNoise、Recorded Future は、月額 49～2,000 ドルのサブスクリプションサービスです。この MCP サーバーは、CVE データ、インターネット上のホストの露出状況（Censys 経由）、証明書の列挙、DNS、WHOIS など、同等の受動的偵察機能を、サブスクリプション契約なしでツール呼び出し 1 回あたり 0.045 ドルで提供します。Apify の無料枠では、毎月最初の 111 回の呼び出しを無料で利用できます。

Claude 以外の AI クライアントでも、この MCP サーバーを使用できますか？ はい。このサーバーは Model Context Protocol 仕様の Streamable HTTP トランスポートを実装しています。Claude Desktop、Cursor、Windsurf、Continue.dev、および @modelcontextprotocol/sdk を使用するあらゆるフレームワークなど、どの MCP クライアントとも互換性があります。Apify トークンを Bearer ヘッダーとして指定し、https://cybersecurity-intelligence-mcp.apify.actor/mcp に接続してください。 データソースが一時的に利用できない場合はどうなりますか？ 個々のアクターでエラーが発生しても、例外はスローされず、空の配列が返されます。cyber_domain_intelligence ツールは、Promise.all() を使って各データソースを並列実行します。たとえば、Censys でエラーが発生しても、ほかのコンポーネント（DNS、WHOIS、CT ログ）は引き続き結果を返し、利用可能なデータからリスク指標が生成されます。応答がなくなるのではなく、一部の結果のみが返されます。

複数のドメインを一度にスキャンできますか？ cyber_dns_lookup と cyber_whois_lookup は、1 回の呼び出しで最大 50 件のドメインを含む配列を受け付けます。cyber_domain_intelligence はドメインごとに 3～5 個のアクターを並列実行するため、1 回の呼び出しで 1 つのドメインを処理するよう設計されています。複数のドメインを評価する場合は、ループ内で呼び出すか、DNS および WHOIS の個別ツールを使って一括処理してください。

リスク指標エンジンの精度はどの程度ですか？ リスク指標のルールは決定論的で、保守的に設定されています。対象となるのは、ドメインの経過年数のしきい値、メールセキュリティの有無、DNSSEC のステータス、KEV の一致件数です。これらは、確率的なリスクスコアではなく、実際に対処できるシグナルを提示するよう設計されています。誤検知（たとえば、正当な新しいドメインがフィッシングリスク「高」と判定される場合）は想定されています。CRITICAL および WARNING フラグは、確定的な判定ではなく、調査の出発点として扱ってください。

この MCP サーバーをスケジュールして、定期的なセキュリティ評価を実行できますか？ この MCP サーバーは、対話的に利用できるよう Apify のスタンバイモードで実行されます。評価をスケジュールする場合は、Apify プラットフォーム経由で cron スケジュールを設定し、基盤となる Apify アクター（NVD CVE Search、CISA KEV Search、DNS Record Lookup）を直接使用するか、スケジュールされたジョブから MCP エンドポイントをプログラムで呼び出してください。

改善にご協力ください

問題が発生した場合は、Apify アカウントで実行の共有を有効にすると、より迅速なデバッグに役立ちます。

1. Account Settings > Privacy に移動します
2. Share runs with public Actor creators を有効にします

これにより、問題が発生した際にこちらで実行の詳細を確認できるようになり、より迅速に修正できます。データを閲覧できるのはアクターの開発者のみで、一般公開されることはありません。

トラブルシューティング

• 有効なキーワードを指定しても cyber_search_vulnerabilities が結果を返さない — NVD のキーワード検索では、CPE 名は大文字と小文字が区別されますが、一般的なキーワードでは区別されません。製品名を検索する場合は、「log4j」、「log4j2」、「log4shell」などの表記を試してください。また、検索範囲をいずれかの単語に一致するものに広げるには、exact_match: false も試してください。

• cyber_search_hosts が _dryRun としてフラグ付けされたデモデータを返す — Censys の認証情報が指定されていません。censys.io で無料の API ID とシークレットを取得し、ツール呼び出しで censys_api_id と censys_api_secret として渡してください。無料プランでは、月あたり 250 件のクエリを利用できます。

• cyber_domain_intelligence のリスク指標に、無関係なベンダーの KEV 一致が表示される — ベンダーは最初のドメインラベルから推測されます。「cloud.mycompany.com」のようなドメインの場合、ツールはベンダー「cloud」として CISA KEV を検索するため、インフラストラクチャ層の結果が返されます。正確な結果を得るには、明示的な vendor パラメーターを指定して cyber_exploited_vulnerabilities を直接呼び出してください。

• DNS ルックアップで、一部のレコードタイプのレコードが空で返される — すべてのドメインに、すべてのレコードタイプが設定されているわけではありません。AAAA レコードには IPv6 アドレスが必要です。CNAME レコードは、エイペックス以外のサブドメインにのみ存在します。SOA レコードは、一部の権威 DNS サーバーによってブロックされる場合があります。あるレコードタイプの配列が空の場合は、ルックアップの失敗ではなく、そのレコードが存在しないことを示します。

• 脆弱性検索の実行に 3 分以上かかる — NVD は、約 30 秒あたり 5 リクエストのレート制限を設けています。広い日付範囲で max_results を 500 に設定すると、NVD API のページを 10 件以上順次取得する必要が生じる場合があり、それぞれにレート制限が適用されます。2 分以内に収めるには、max_results を減らすか、日付範囲を絞ってください。

サポート

バグを見つけた場合や機能をリクエストしたい場合は、このアクターのページで issue を作成してください。カスタムソリューションやエンタープライズ統合については、Apify プラットフォームからお問い合わせください。