intelthreadlinqs-mcp

intelthreadlinqs-mcp

Threadlinqs Intelligence 用 MCP サーバー — 脅威インテリジェンス、検知、IOC、脅威アクター、MITRE 攻撃チェーン、C2 インフラストラクチャ、Purple ティアの複合インテリジェンスに関する 81 個のツールと 25 個のアナリスト向けプレイブックプロンプトを提供します。Claude Code、Claude Desktop、Cursor、およびあらゆる MCP 対応クライアントにそのまま導入できます。

AI エージェントで利用できる機能

• 1,700 件以上の脅威：完全なメタデータ、重大度、帰属情報、CVE/CWE、MITRE
• 16,000 件以上の検知ルール：Splunk SPL、Microsoft KQL、Sigma YAML
• 47,000 件以上の IOC（IP、ドメイン、ハッシュ、URL、振る舞い）
• 500 件以上の脅威アクター：TTP プロファイルとアクター間のインフラリンク
• 140 件以上の稼働中 C2 ビーコン（Cobalt Strike）：ウォーターマークのクラスタリングとオペレーターの帰属分析
• 日次インテリジェンスブリーフィングと 7 エンジンによる相関分析
• MITRE 攻撃チェーンの予測：観測された 4,271 件の手法遷移に基づきます

クイックインストール

# No install needed — npx will fetch it
npx -y intelthreadlinqs-mcp

Claude Code

claude mcp add threadlinqs-intel \
  -e THREADLINQS_API_KEY=tl_your_key_here \
  -- npx -y intelthreadlinqs-mcp

-e THREADLINQS_API_KEY は実質的に必須です。Threadlinqs Intelligence MCP サーバーはPurple ティアの機能であり、起動時にキーのティアを確認し、キーがない場合、無効な場合、または Purple 未満の場合に警告します。サーバーは引き続き起動し、クライアントやレジストリが情報を取得できるようツールカタログを公開しますが、ツール呼び出しはサーバー側で制限されます。Purple または Gold のキー（ティア ≥ 3）がない場合、データの代わりに Access denied エラーが返されます。制限対象のインテリジェンスを無料または匿名で利用することはできません。

Claude Desktop

~/Library/Application Support/Claude/claude_desktop_config.json：

{
  "mcpServers": {
    "threadlinqs-intel": {
      "command": "npx",
      "args": ["-y", "intelthreadlinqs-mcp"],
      "env": {
        "THREADLINQS_API_KEY": "tl_your_key_here"
      }
    }
  }
}

Cursor

.cursor/mcp.json：

{
  "mcpServers": {
    "threadlinqs-intel": {
      "command": "npx",
      "args": ["-y", "intelthreadlinqs-mcp"],
      "env": {
        "THREADLINQS_API_KEY": "tl_your_key_here"
      }
    }
  }
}

VS Code

.vscode/mcp.json：

{
  "servers": {
    "threadlinqs-intel": {
      "type": "stdio",
      "command": "npx",
      "args": ["-y", "intelthreadlinqs-mcp"],
      "env": {
        "THREADLINQS_API_KEY": "tl_your_key_here"
      }
    }
  }
}

API キーの取得

intel.threadlinqs.com で登録し、メールアドレスを確認してから、Profile → API Key に移動してください。登録しただけでは Blue（ティア 1）になる点にご注意ください。MCP ツールの呼び出しにはティア ≥ 3 が必要なため、アップグレードするまではティア不足エラーが返されます。料金ページでの決済時に、7 日間の Purple 無料トライアルを利用できます。

アクセス — Purple ティア限定

MCP サーバーはPurple ティアの機能です。81 個すべてのツールを利用するには、Purple または Gold のサブスクリプション（ティア ≥ 3）が必要です。サーバーは起動時にキーのティアを確認し、キーがない場合、無効な場合、または Purple 未満の場合に警告します。クライアントがカタログを参照できるよう、サーバーは起動してツール一覧を表示しますが、各呼び出しではサーバー側でティアが適用されるため、制限対象のツールはデータの代わりに Access denied を返します。制限対象のインテリジェンスを無料または匿名で利用することはできません。

ティア	価格	MCP アクセス
Purple	$11.99/mo	✅ 81 個すべてのツール
Gold	Custom	✅ 81 個すべてのツール（チーム向け — 営業にお問い合わせください）
下位ティア	—	❌ MCP アクセスなし（公開ウェブサイトと REST API では、独自の無料 Blue ティアを引き続き利用できます）

料金ページでの決済時に7 日間の Purple 無料トライアルを利用できます。登録だけでは付与されません。ツール呼び出しではサーバー側でティアが適用され、サブスクリプションが失効すると、構造化された 403 エラーが返されます。

v4.3 の主要ツール（Purple ティア）

複合ツールは、多くのユーザーが Purple にアップグレードする理由です。それぞれが、単一目的の MCP 呼び出し 5～7 回分を置き換えます。

get_threat_hunting_bundle ⭐

入力： threat_id（例："TL-2026-0599"）

戻り値： 完全なハンティング調査資料を一度に返します。脅威のメタデータ、IOC の全リスト、SPL/KQL/Sigma の検知クエリ、類似する脅威、シミュレーションコマンド、脅威をまたいだインフラのピボット情報を含みます。プラットフォームで最も役立つ単一のツールです。

get_actor_intelligence

入力： アクターのname（例："Lazarus Group"、"APT29"）

戻り値： 包括的な敵対者の全体像 — アクタープロファイル、帰属が特定された脅威、MITRE テクニック、IOC（上限 200 件）、検出ルール（上限 100 件）、活動タイムライン、アクターと関連付けられたアクティブな C2 インフラストラクチャ、およびアクター間で共有されるエンティティ。

get_ioc_intelligence

入力： ioc_value（IP、ドメイン、ハッシュ、URL）

戻り値： IOC に関係するすべての脅威 + アクターの帰属情報 + DNS エンリッチメントの追跡情報 + IOC 間のインフラストラクチャのピボット + 7 つの外部フィード（Pulsedive、GreyNoise、YARAify、MalwareBazaar、URLScan、VxVault、OpenPhish）にまたがるコンセンサス信頼度スコア。「ログでこれを見つけた — すべて教えて」というワークフローです。

get_cve_intelligence

入力： cve_id（例："CVE-2024-3400"）

戻り値： CVE の詳細 + 関連する脅威 + EPSS の悪用速度 + KEV ステータス + 検出カバレッジ率 + 利用可能な攻撃シミュレーション + 初回兵器化のタイムライン。

get_mitre_gap_analysis

入力： 任意のtacticフィルター、limit

戻り値： 検出カバレッジのない MITRE テクニックを、負債スコア（脅威への露出 + KEV 件数 + EPSS）順に並べた優先リストです。各項目には、脅威の例と推奨される検出タイプが含まれます。「次にどの検出ルールを書くべきか？」に答えます。

predict_mitre_transitions

入力： technique_id（例："T1566"）、top_n、direction（forward | reverse）

戻り値： 確率と観測件数を含む、次に使用されるテクニックのランキング付き予測に加え、その連鎖を示す脅威の例です。コーパス全体で観測された 4,271 件の遷移に基づいています。

generate_c2_blocklist

入力： なし。

戻り値： アクティブな C2 IP のファイアウォール対応ブロックリスト。国、ASN、バージョン、ウォーターマーク、最終確認時刻のメタデータを含みます。現在は Cobalt Strike のビーコンを追跡しています。オペレーターのクラスタリングにはget_c2を、マスクされていない C2 ドメインにはget_c2_dns_intelを呼び出してください。

専用ツール

• search_actors — 名前、別名、国家主体、または動機から脅威アクターを検索します。
• get_actor — 1 回の呼び出しでアクターの詳細な情報を取得します。
• get_similar_threats — TTP の共有、IOC の重複、同じアクターへの帰属に基づき、事前計算された類似度で一致する脅威を検索します。

エージェントスキル

あらゆる MCP クライアントに、これらのツールをどのように使い分けるかを教える、持ち運び可能なスキルです。最初に呼び出すツール、huntクエリの文法、応答の予算、回答の正確性を保つためのデータ上の注意事項を説明します。最新のカタログから生成されるため、ツールのリファレンスが古くなることはありません。

• 単一ファイル（任意のアシスタントに貼り付けて使用）：https://intel.threadlinqs.com/mcp/skill.md
• バンドル（SKILL.md + references/、Claude Desktop / API スキルのアップロード用）： https://intel.threadlinqs.com/skills/intelthreadlinqs-mcp-skill.zip
• このリポジトリのskill/にもあり、https://intel.threadlinqs.com/mcpからリンクされています。

プロンプト — 25 のアナリスト向けプレイブック

プロンプトは、ツールを自動で連携させるための事前構築済みワークフローです。81 個のツールのうちどれを連携させるかを考える代わりに、プレイブックを呼び出せば、エージェントが順序どおりで引数も正しいプランを取得できます。これらを組み合わせることでサーバー上のすべてのツールを利用できるため、prompts/list のみを読み取るエージェントでも、利用可能な機能をすべて把握できます。

プレイブック	内容
orient	まずはこちら — カタログ、コーパスの構成、カテゴリ、TLQL 文法
triage_cve	CVE のエンドツーエンド対応：深刻度、悪用状況、露出、修復
profile_actor	アクターの詳細情報：TTP、標的、帰属の確信度
hunt_ioc	インジケーター → 関連する脅威、影響範囲、ブロック操作
hunt_corpus	ハントインデックスを対象とした TLQL での集計的な質問
research_question	セマンティックコーパス検索による自由形式の調査
map_detections_to_mitre	脅威の SPL/KQL/Sigma を ATT&CK にマッピングし、ギャップを特定
review_detection_gaps	露出度に基づいて順位付けした、価値の高い検出対応の遅れ
write_detection	コーパスのロジックに基づいた、デプロイ可能なルールの作成
predict_next_move	次または直前の ATT&CK テクニックを予測
explain_link	2 つの脅威が関連している理由を証拠とともに提示
map_campaign	キャンペーンの構成要素、共有インフラ、重要なエンティティ
review_attribution	帰属判断に証拠があるかを監査
pivot_infrastructure	DNS、ホスティング、関連インフラを横断して調査
malware_dossier	マルウェアファミリーまたは攻撃ツールのプロファイル
build_c2_blocklist	オペレーターをクラスタリングした、ファイアウォール対応の C2 ブロックリスト
osint_sweep	コミュニティの情報を取り込み、カバーまでの所要時間を明らかにする
sweep_vulnerabilities	CVSS だけでなく、悪用可能性に基づいてトリアージ
plan_purple_team	シミュレーションと、それによって作動するはずの検出を組み合わせる
export_for_tooling	STIX 2.1、ATT&CK Navigator、SIEM 対応ルール
bulk_enrich	脅威/CVE ID のリストを、N 回の往復通信なしで一括処理
assess_exposure	CVE、アクター、テクニックのカバー状況と未カバー状況
daily_brief	本日の状況、注目すべき新たな脅威、今日のテーマ
period_review	デブリーフアーカイブから、特定の日または期間を振り返る
platform_status	コーパスの健全性、エンジンの状態、エンリッチメントの完了状況

全ツールカタログ

パラメーターと呼び出し例を含む 81 個のツールの完全な一覧については、インタラクティブな MCP ドキュメントページをご覧ください。

アーキテクチャ

• トランスポート： stdio（ローカルサブプロセス）

• 認証： THREADLINQS_API_KEY 環境変数（ワーカー API 用 Bearer トークン）

• ランタイム： Node ≥18

• SDK： @modelcontextprotocol/sdk@^1.26.0

• バックエンド： Cloudflare Workers + D1（マルチリージョン）

• Purple ゲート： サーバーは起動時に API キーのティアを確認し、キーがない、無効、または Purple/Gold 未満（ティア ≥ 3）の場合に警告します。ツールカタログを参照できる状態に保つため、サーバーはそのまま起動します。ゲート自体はすべてのツール呼び出し時にサーバー側で適用されます（ティアの失効または不足時は、構造化された 403 を返します）。

• イントロスペクションには 3 つのティアがあります（8.1.0 以降）：認証済みの tools/list → パブリックな /mcp/catalog.json → パッケージに同梱されたカタログスナップショット。最初の 2 つにはネットワーク接続が必要ですが、3 つ目には不要です。そのため、ネットワークから完全に隔離されたサンドボックスでも、tools/list は実際のカタログを返します。以前はこのケースでエラーではなく空の配列（ツールのないサーバーと区別できない空のリスト）を返していたため、レジストリスキャナーがこのサーバーをツール数 0 としてインデックスに登録していました。

  メンテナー向け：ツールとプロンプトのレジストリはワーカーが管理しているため、ワーカーのデプロイ後に npm run sync:catalog を実行してスナップショットを再生成してください。npm run test:catalog はスナップショットとライブカタログが一致しない場合にビルドを失敗させます。また、prepublishOnly で実行されます。

リンク

• 📖 インタラクティブなドキュメントとお試し
• 🔑 API キーを取得
• 💳 料金
• 🐛 問題を報告
• 📜 変更履歴

ライセンス

MIT © Threadlinqs