SecOps Field Notes

secops-field-notes-mcp

セキュリティアナリストがシフト中に何度も手作業で行う作業を、コーディングエージェントが呼び出せるツールにしました。CVE のスコアを算出する、レポートからインジケーターを抽出してチケット用に無害化する、フィッシングメールのヘッダーを正しく読み取る、ハッシュの種類を特定する、JWT をデコードする、タイムスタンプを人が読める形式に変換する、base64 化された 16 進数のペイロードをデコードする、そして CVE が CISA の実環境で悪用された脆弱性リストに掲載されているかを確認するといった作業です。

無料、MIT ライセンス、アカウント不要、テレメトリなしです。KEV の検索以外はすべてお使いのマシン上で実行されます。

インストール

バージョンを固定してください。

Claude Code

claude mcp add secops-field-notes -- npx -y github:labaccessnow/secops-field-notes-mcp#v0.1.0

Claude Desktop、Cursor、または JSON 設定に対応するクライアント

{
  "mcpServers": {
    "secops-field-notes": {
      "command": "npx",
      "args": ["-y", "github:labaccessnow/secops-field-notes-mcp#v0.1.0"]
    }
  }
}

Docker

{
  "mcpServers": {
    "secops-field-notes": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "ghcr.io/labaccessnow/secops-field-notes-mcp:0.1.0"]
    }
  }
}

npx を使う場合は Node 18 以降が必要です。公式 MCP レジストリにも io.github.labaccessnow/secops-field-notes-mcp として登録されています。

ツール

ツール	わかること	ネットワーク
cvss_score	ベクターまたは 8 つのメトリクスから CVSS 3.1 基本スコアを算出します。FIRST の計算方法と完全に一致します	なし
extract_iocs	テキストから IP、ドメイン、URL、メールアドレス、CVE ID、ハッシュをすべて抽出します。入力時に無害化を解除し、出力時に無害化します	なし
defang_text	hxxp[://]、[.]、[at] を相互に変換します	なし
analyze_email_headers	Received チェーンを順番に並べ、ホップごとの遅延、送信元 IP、SPF/DKIM/DMARC、およびフィッシングのトリアージで確認する不一致を示します	なし
identify_hash	bcrypt、Argon2、yescrypt、Unix crypt、LM:NT、MD5/NTLM、SHA-1/224/256/384/512 を形式から特定し、それぞれが意味することを示します	なし
decode_jwt	ヘッダー、ペイロード、日付形式の時刻を表示します。alg:none、有効期限切れ、期限のないトークンにフラグを付けます	なし
convert_timestamp	Epoch の秒／ミリ秒／マイクロ秒、Windows FILETIME、ISO 8601、RFC 2822 をすべての形式に変換します	なし
decode_layers	base64／hex／URL／HTML エンティティ／ROT13 を連続してデコードし、各レイヤーを確認できます	なし
lookup_kev	この CVE が実環境で悪用されているかを確認します。CISA KEV の追加日、期限、ランサムウェアでの使用、必要な対応を表示します	CISA フィード、1 時間キャッシュ
latest_field_note	今週悪用された脆弱性を確認します	RSS

analyze_email_headers

生のソースを貼り付けてください。ヘッダーを展開し、Received 行を時系列順に読み取って（保存時は新しい順です）、各ホップの遅延を計算し、チェーン内で最初に見つかるパブリック IP を特定して、認証結果を読み取り、トリアージ担当者が伝えるような内容を示します。

From        "IT Helpdesk" <[email protected]>
Reply-To    [email protected]
Auth        SPF pass · DKIM pass · DMARC fail
Origin IP   192.0.2.44

Received chain (origin first, 3 hops):
   1. [10.0.0.5] [192.0.2.44] → relay.example-news.com  2026-09-05 13:59:50Z
   2. relay.example-news.com [198.51.100.9] → mx3.corp.example  2026-09-05 14:00:15Z  +25s
   3. mx3.corp.example [203.0.113.30] → inbox.corp.example  2026-09-05 14:00:20Z  +5s

Warnings:
  ! From domain (corp.example) ≠ Return-Path domain (mailer.example-news.com) …
  ! Reply-To goes to a different domain (evil-mail.example) than From (corp.example) — classic BEC pattern.
  ! DMARC verdict: fail.

cvss_score

計算は FIRST 仕様に従っています。Roundup 関数も整数演算で実行するため、浮動小数点の誤差によって 4.0 が 4.1 に変わることはありません。Log4Shell のベクターは 10.0、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H は 9.8 です。どちらもテストスイートに含まれています。

対応していないこと

• アカウント、登録、キーは不要です。テレメトリもありません。
• ディスク上の情報は読み取りません。入力はすべて、渡したテキストです。
• JWT 署名は検証しません。デコードのみを行い、その旨を毎回の結果に記載します。
• パッケージ内でネットワーク通信を行うのは lookup_kev だけです。CISA の公開カタログ（約 1.7 MB）を取得し、1 時間キャッシュします。それ以外はソケットを開きません。
• VirusTotal、AbuseIPDB、その他のエンリッチメントサービスには問い合わせません。これらにはキーとアカウントが必要です。このサーバーは、それらを使う前後の作業を支援します。

ライセンス

MIT。James Son（ネットワーク、セキュリティ、自動化エンジニア）が作成しました。ロジックは無料の Field Kit デスクトップアプリのセキュリティツールと同じなので、両者は常に連携しています。修正の提案を歓迎します。