Abnormal MCP Server

Abnormal MCP サーバー

Abnormal Security 向けの、安全なオープンソースの Model Context Protocol サーバーです。

このプロジェクトは Abnormal の公式製品ではなく、Abnormal AI による推奨を受けていません。

概要

abnormal-mcp を使うと、Cursor や Claude Desktop などの MCP クライアントから、stdio（デフォルト）または Streamable HTTP 経由で Abnormal Security にクエリできます。Abnormal Security Client API に対して、軽量な手書きクライアントを使用します。

MCP Client
    → Abnormal MCP Server (stdio or HTTP)
        → Abnormal REST API

このサーバーはデフォルトで読み取り専用です。レスポンスツールと証拠ダウンロードツールは、個別にオプトインできます。すべてのリクエストには、引き続き Abnormal の認可が適用されます。

機能

読み取り（常時有効）

• Threat Log からの脅威一覧の取得と個別脅威の取得
• 脅威リンクと添付ファイルのメタデータ
• 脅威アクションのステータスポーリング（abnormal_threat_action_get）
• 使いやすいフィルター（since、sender、sender_domain、recipient、subject、url、attachment、sender_ip、judgement）を使ったメッセージ検索
• 検索アクティビティの一覧とステータス
• メッセージ修復履歴
• AI Security Mailbox（旧 Abuse Mailbox）のキャンペーンと未分析レポート
• 従業員プロフィール、ID（Genome）、最近のログイン
• ATO ケースの一覧、詳細、分析
• ベンダーの一覧、詳細、アクティビティ、ベンダー侵害ケース
• Detection 360 レポートの一覧（誤検知と見逃された攻撃）
• 米国、EU、FedRAMP のベース URL（設定可能）

レスポンス（オプトイン：ABNORMAL_ALLOW_RESPONSE=true）

• confirm: true のプレビューゲートを使用した検索修復（delete、move_to_inbox）
• confirm: true のプレビューゲートを使用した脅威の修復／修復解除
• confirm: true のプレビューゲートを使用した ATO ケースのステータス更新
• confirm: true のプレビューゲートを使用した Detection 360 レポートの送信（誤検知、見逃された攻撃／スパム／グレーメール）

証拠のダウンロード（オプトイン：ABNORMAL_ALLOW_EVIDENCE_DOWNLOAD=true）

• メッセージの EML ダウンロード（ABX メッセージ ID または検索の cloud_message_id による）

• 添付ファイルの分析シグナルとダウンロード

• デフォルトではメタデータと範囲を限定したプレビューを提供。オプションで Base64 を埋め込み可能（ツール出力で最大 1 MiB）

• stdio トランスポート（デフォルト）とオプトインの Streamable HTTP

• ネイティブ Go バイナリと Docker イメージ

• タグ付きリリースでの MCP Registry への掲載（io.github.GregDog/mcp-server-abnormal）

クイックスタート

Abnormal ポータルの「Integrations → Abnormal REST API」から Abnormal REST API トークンを作成します。

export ABNORMAL_API_TOKEN="your-token"
abnormal-mcp serve

インストール

ソースから

git clone https://github.com/GregDog/mcp-server-abnormal.git
cd mcp-server-abnormal
make build

Docker

docker run --rm -i \
  -e ABNORMAL_API_TOKEN \
  ghcr.io/gregdog/mcp-server-abnormal serve

クライアントの設定

Cursor（stdio）

examples/cursor.mcp.json を参照してください。

Claude Desktop

examples/claude-desktop.json を参照してください。

ツール

27 個の読み取りツールは常に登録されています。ABNORMAL_ALLOW_EVIDENCE_DOWNLOAD=true の場合、証拠ツールが 5 個追加されます（合計 32 個）。ABNORMAL_ALLOW_RESPONSE=true の場合、レスポンスツールが 4 個追加されます（合計 31 個、両方のゲートを有効にすると 36 個）。

領域	ツール
脅威	abnormal_threats_list, abnormal_threat_get, abnormal_threat_action_get, abnormal_threat_links_list, abnormal_threat_attachments_list
検索	abnormal_search_messages, abnormal_search_activities_list, abnormal_search_activity_get
メッセージ	abnormal_message_remediation_history
メールボックス	abnormal_mailbox_campaigns_list, abnormal_mailbox_campaign_get, abnormal_mailbox_unanalyzed_list
従業員	abnormal_employee_get, abnormal_employee_identity_get, abnormal_employee_logins_list
ATO ケース	abnormal_cases_list, abnormal_case_get, abnormal_case_analysis_get, abnormal_case_action_get
ベンダー	abnormal_vendors_list, abnormal_vendor_get, abnormal_vendor_activity_list, abnormal_vendor_cases_list, abnormal_vendor_case_get
Detection 360	abnormal_detection360_reports_list
URL 書き換え	abnormal_url_rewrite_clicks_list
監査ログ	abnormal_audit_logs_list
証拠（オプトイン）	abnormal_message_eml_get, abnormal_search_message_eml_get, abnormal_message_attachment_get, abnormal_message_attachment_download, abnormal_search_attachment_download
レスポンス（オプトイン）	abnormal_search_remediate, abnormal_threat_remediate, abnormal_case_update, abnormal_detection360_report_submit

パラメーターについては、docs/tools.md を参照してください。

構成

変数	デフォルト	用途
ABNORMAL_API_TOKEN	（必須）	ベアラートークン
ABNORMAL_BASE_URL	https://api.abnormalplatform.com/v1	API のベース URL
ABNORMAL_ALLOW_RESPONSE	false	レスポンスツールを有効にします（Phase 2 以降）
ABNORMAL_ALLOW_EVIDENCE_DOWNLOAD	false	証拠のダウンロードを有効にします（Phase 5 以降）
ABNORMAL_MCP_TRANSPORT	stdio	stdio または http

全項目については、docs/configuration.md を参照してください。

セキュリティ

読み取りツールは常に有効です。レスポンスツールと証拠ツールを使用するには、明示的なオプトインが必要です。

**ローカルでのみ使用してください：**このサーバーには、認証機能や RBAC が組み込まれていません。stdio（デフォルト）または同じマシン上のループバック HTTP を使用してください。独自のアクセス制御なしに HTTP エンドポイントをネットワーク上に公開しないでください。

docs/security.md および SECURITY.md を参照してください。

開発

make check
make test-access    # optional live API smoke test
make test-phase34   # Phase 3/4 live smoke test
make test-phase5    # Phase 5 evidence smoke test (requires ABNORMAL_ALLOW_EVIDENCE_DOWNLOAD)

docs/development.md を参照してください。

ライセンス

Apache-2.0。LICENSE を参照してください。