SecOps Field Notes

secops-field-notes-mcp

セキュリティアナリストがシフト中に何度も手作業で行う作業を、コーディングエージェントから呼び出せるツールにしました。CVE のスコアを算出し、レポートからインジケーターを抽出してチケット用に無害化し、フィッシングメールのヘッダーを正しく読み取り、ハッシュの種類を特定し、JWT をデコードし、タイムスタンプを人が読める形式に変換し、base64 化された hex ペイロードを展開し、CVE が CISA の実環境で悪用されている脆弱性のリストに含まれているかを確認できます。

無料、MIT ライセンス、アカウント不要、テレメトリーなしです。KEV の検索を除き、すべてお使いのマシン上で実行されます。

インストール

バージョンを固定してください。

Claude Code

claude mcp add secops-field-notes -- npx -y github:getlarkwright/secops-field-notes-mcp#v0.1.1

Claude Desktop、Cursor、または JSON 設定を使うクライアント

{
  "mcpServers": {
    "secops-field-notes": {
      "command": "npx",
      "args": ["-y", "github:getlarkwright/secops-field-notes-mcp#v0.1.1"]
    }
  }
}

Docker

{
  "mcpServers": {
    "secops-field-notes": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "ghcr.io/getlarkwright/secops-field-notes-mcp:0.1.1"]
    }
  }
}

npx で実行するには Node 18 以降が必要です。公式 MCP レジストリにも io.github.getlarkwright/secops-field-notes-mcp として登録されています。

ツール

ツール	回答する内容	ネットワーク
cvss_score	ベクトルまたは 8 つの指標から CVSS 3.1 の基本スコアを算出します。FIRST の計算と完全に一致します	なし
extract_iocs	テキストからすべての IP、ドメイン、URL、メールアドレス、CVE ID、ハッシュを抽出します。入力時に無害化を解除し、出力時に無害化します	なし
defang_text	hxxp[://]、[.]、[at] を相互に変換します	なし
analyze_email_headers	Received チェーンを順に並べ、ホップごとの遅延、送信元 IP、SPF／DKIM／DMARC、およびフィッシングのトリアージで確認すべき不一致を示します	なし
identify_hash	bcrypt、Argon2、yescrypt、Unix crypt、LM:NT、MD5/NTLM、SHA-1/224/256/384/512 を形式から特定し、それが何を意味するかを示します	なし
decode_jwt	ヘッダー、ペイロード、日付形式の時刻を示し、alg:none、期限切れ、期限のないトークンにフラグを立てます	なし
convert_timestamp	Epoch 秒／ミリ秒／マイクロ秒、Windows FILETIME、ISO 8601、RFC 2822 を、すべての形式に変換します	なし
decode_layers	base64／hex／URL／HTML エンティティ／ROT13 を連鎖的にデコードし、各レイヤーを確認できます	なし
lookup_kev	この CVE が実環境で悪用されているかを確認します。CISA KEV の追加日、期限、ランサムウェアでの使用、必要な対応を示します	CISA フィード、1 時間キャッシュ
latest_field_note	今週悪用されたものを確認できます	RSS

analyze_email_headers

生のソースを貼り付けてください。ヘッダーを展開し、Received 行を時系列順に読み取り（保存時は新しいものから並んでいます）、各ホップの遅延を計算し、チェーン内で最初に現れるパブリック IP を見つけ、認証結果を読み取ったうえで、トリアージ担当者が伝えるような内容を示します。

From        "IT Helpdesk" <[email protected]>
Reply-To    [email protected]
Auth        SPF pass · DKIM pass · DMARC fail
Origin IP   192.0.2.44

Received chain (origin first, 3 hops):
   1. [10.0.0.5] [192.0.2.44] → relay.example-news.com  2026-09-05 13:59:50Z
   2. relay.example-news.com [198.51.100.9] → mx3.corp.example  2026-09-05 14:00:15Z  +25s
   3. mx3.corp.example [203.0.113.30] → inbox.corp.example  2026-09-05 14:00:20Z  +5s

Warnings:
  ! From domain (corp.example) ≠ Return-Path domain (mailer.example-news.com) …
  ! Reply-To goes to a different domain (evil-mail.example) than From (corp.example) — classic BEC pattern.
  ! DMARC verdict: fail.

cvss_score

計算は FIRST の仕様に従っており、Roundup 関数も整数演算で実行するため、浮動小数点の誤差によって 4.0 が 4.1 になることはありません。Log4Shell のベクトルは 10.0、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H は 9.8 と算出されます。どちらもテストスイートに含まれています。

対応しないこと

• アカウント、登録、キーは不要です。テレメトリーもありません。
• ディスクから何かを読み取ることはありません。すべての入力は、渡されたテキストです。
• JWT 署名の検証は行いません。デコードのみを行い、そのことはすべての結果に明記されます。
• パッケージ内でネットワーク呼び出しを行うのは 1 つだけです。lookup_kev が CISA の公開カタログ（約 1.7 MB）を取得し、1 時間キャッシュします。それ以外はソケットを開きません。
• VirusTotal、AbuseIPDB、その他のエンリッチメントサービスへの問い合わせは行いません。これらにはキーとアカウントが必要です。このサーバーは、それらを使う前後に行う作業のためのものです。

ライセンス

MIT © Larkwright LLC。執筆者は James Son（ネットワーク、セキュリティ、自動化エンジニア）です。ロジックは無料の Field Kit デスクトップアプリのセキュリティツールと同じなので、両者は常に同期しています。修正案を歓迎します。