JoeSandboxMCP

Joe Sandbox MCP サーバー

Joe Sandbox Cloud と連携するための Model Context Protocol（MCP）サーバーです。
このサーバーは Joe Sandbox の豊富な分析機能と IOC 抽出機能を提供し、MCP 互換アプリケーション（Claude Desktop、Glama、カスタム LLM エージェントなど）にシームレスに統合できます。

機能

• 柔軟な送信：ローカルファイル、リモート URL、ウェブサイト、またはコマンドラインを送信して動的解析を行えます。
• IOC 抽出：ドロップされたファイル、IP、ドメイン、URL の侵害指標を取得できます。
• シグネチャ検出：サンドボックスのシグネチャから、実用的な証拠を取得して抽出できます。
• プロセスツリー：コマンドラインや親子関係を含む、実行階層全体を可視化できます。
• アンパック済み PE ファイル：実行中に抽出された、メモリ内でアンパック済みのバイナリをダウンロードできます。実行時のペイロードが明らかになることもよくあります。
• PCAP ダウンロード：オフラインで調査するために、解析中に記録されたネットワークトラフィックの全キャプチャ（PCAP）を取得できます。
• LLM に適した応答：すべての結果は、切り詰めや関連情報のフィルタリングを行い、言語モデルが明確に利用できる形式に構造化されています。

クイックスタート

uv によるインストール（推奨）

1. リポジトリをクローンします。

   git clone https://github.com/joesecurity/joesandboxMCP.git
   cd joesandboxMCP
   

2. uv を使用して依存関係をインストールします。

   uv venv
   uv pip install -e .
   

3. MCP サーバーを起動します（設定については以下を参照してください）。

---

設定例

{
  "mcpServers": {
    "JoeSandbox": {
      "command": "uv",
      "args": [
        "--directory",
        "/absolute/path/to/joesandboxMCP",
        "run",
        "main.py"
      ],
      "env": {
        "JBXAPIKEY": "your-jbxcloud-apikey",
        "ACCEPTTAC": "SET_TRUE_IF_YOU_ACCEPT"
      }
    }
  }
}

法的通知

この連携を Joe Sandbox Cloud で使用するには、Joe Security の利用規約に同意する必要があります。

環境変数 ACCEPTTAC=TRUE を設定することで、利用規約を読み、同意したことを明示的に確認したものとします。

---

利用可能なツール

Joe Sandbox MCP サーバーは、サンドボックスレポートとの連携、実行の監視、脅威インテリジェンスの抽出に役立つ多彩なツールを提供します。これらは LLM が理解しやすい形式で利用できます。

1. 解析の送信

ファイル、URL、ウェブサイト、またはコマンドラインを送信して、サンドボックス解析を行います。
結果を待つか、すぐに返して後で確認するかを選択できます。
インターネットアクセス、スクリプトのログ記録、アーカイブのパスワードなど、さまざまなオプションに対応しています。

2. 過去の解析を検索

ハッシュ、ファイル名、検出ステータス、脅威名などを使って、過去に送信したデータを検索します。
すでに解析済みかどうかをすばやく確認できます。

3. 送信ステータスの確認

以前に送信したサンプルの現在のステータスと主要なメタデータを取得します。
検出判定、使用されたシステム、解析スコアが含まれます。

4. AI による要約

サンドボックスの AI が生成した、概要レベルの分析結果を取得します。
複雑な挙動を平易な言葉で理解するのに役立ちます。

5. 悪意のあるドロップファイル

実行中にドロップされ、悪意があると判定されたファイルを確認します。
ハッシュ値、ファイル名、発生元プロセス、検出指標が含まれます。

6–8. ネットワーク指標

解析中に通信したドメイン、IP アドレス、または URL を表示します。
明らかに悪意のある項目や、信頼度の高い検出のみに絞り込めます。
IP の名前解決、地理的な情報、通信のコンテキスト、検出の証拠などの詳細が含まれます。

9. 挙動検出（シグネチャ）

実行中に検出された主要な挙動の概要を取得します。
影響度の高い項目のみに絞り込めます。

10. プロセスツリー

実行中に動作したプロセスの階層全体を可視化します。
親子関係、コマンドライン、終了情報を表示します。

11. アンパック済みバイナリ

メモリ内でアンパックまたは復号された実行ファイルを取得します。
元のファイルからは見えないペイロードの特定に役立ちます。

12. ネットワークトラフィック（PCAP）

解析中に記録されたネットワークパケットキャプチャ全体をダウンロードします。
トラフィックの調査、C2 コールバックの確認、ドメインや IP の抽出に役立ちます。

13. 最近のアクティビティ

最近のサンドボックスへの送信内容を一覧表示し、実行されたシステム、スコア、返された判定を確認できます。

14. メモリダンプ

実行時に取得された生のメモリダンプを取得します。

15. ドロップされたファイル

解析中にドロップされたすべてのファイルを取得します。

---

ライセンス

このプロジェクトはMIT Licenseの下でライセンスされています。