Binalyze AIR MCP Server

Binalyze AIR MCP 服务

一个为 Binalyze AIR 实现 Model Context Protocol (MCP) 的 Node.js 服务，可通过自然语言与 AIR 的数字取证和事件响应功能交互。

✨ 功能

• 资产管理 - 列出组织中的资产。
• 资产详情 - 根据资产 ID 获取特定资产的详细信息。
• 资产任务 - 根据资产 ID 获取与特定资产关联的所有任务。
• 采集配置文件 - 列出采集配置文件。
• 采集任务 - 将证据采集任务分配给端点。
• 镜像采集任务 - 将磁盘镜像采集任务分配给端点。
• 基线采集 - 从特定端点采集基线数据，以建立参考点。
• 比较基线 - 比较特定端点的多个基线采集任务，以识别变更。
• 获取比较报告 - 获取特定端点和任务的比较结果报告。
• 创建采集配置文件 - 创建包含特定证据／制品／网络设置的新采集配置文件。
• 采集制品 - 列出可用于证据收集的制品。
• 采集证据 - 列出可用于取证数据收集的证据项。
• 重启任务 - 将重启任务分配给特定端点。
• 关机任务 - 将关机任务分配给特定端点。
• 隔离任务 - 隔离或取消隔离特定端点。
• 日志检索任务 - 从特定端点检索日志。
• 版本更新任务 - 将版本更新任务分配给特定端点。
• 组织管理 - 列出组织。
• 案件管理 - 列出组织中的案件。
• 策略管理 - 查看组织中的安全策略。
• 任务管理 - 跟踪取证收集任务及其状态。
• 分类规则 - 查看用于威胁检测的 YARA、Osquery 和 Sigma 规则。
• 用户管理 - 列出组织中的用户。
• 用户详情 - 根据用户 ID 获取特定用户的详细信息。
• 无人机分析器 - 查看可用的无人机分析器及其支持的操作系统。
• 审计日志导出 - 启动审计日志导出。
• 列出审计日志 - 查看系统中的审计日志。
• 卸载资产 - 根据筛选条件卸载特定资产，但不清除数据。
• 清除并卸载资产 - 根据筛选条件清除数据并卸载特定资产。
• 为资产添加标签 - 根据筛选条件为特定资产添加标签。
• 从资产移除标签 - 根据筛选条件从特定资产移除标签。
• 资产自动标记 - 创建和更新规则，根据特定条件自动为资产添加标签。
• 列出资产自动标签 - 列出所有现有的资产自动标签规则。
• 获取资产自动标签详情 - 根据 ID 获取特定资产自动标签规则的详细信息。
• 删除资产自动标签 - 根据 ID 删除特定资产自动标签规则。
• 启动自动标记 - 为符合特定筛选条件的资产启动自动标记流程。
• 电子取证模式 - 列出用于检测不同文件类型的可用电子取证模式。
• 策略管理 - 列出、创建、更新和删除组织中的策略。
• 策略匹配统计信息 - 查看根据各种条件适用于资产的策略。
• 任务分配管理 - 查看和管理任务分配。
• 分类规则管理 - 列出、创建、更新和删除用于威胁检测的分类规则。
• 分类标签管理 - 列出和创建用于威胁检测的分类标签。
• 验证分类规则 - 验证分类规则语法，但不创建规则。
• 分配分类任务 - 根据筛选条件将分类任务分配给端点。
• 向案件添加备注 - 根据案件 ID 向特定案件添加备注。
• 更新案件备注 - 更新特定案件中的现有备注。
• 从案件删除备注 - 根据备注 ID 从案件中删除备注。
• 导出案件 - 从系统导出案件数据。
• 导出案件备注 - 根据案件 ID 导出特定案件的备注。
• 导出案件端点 - 根据案件 ID 导出特定案件的端点。
• 导出案件活动 - 根据案件 ID 导出特定案件的活动。
• 创建案件 - 在系统中创建新案件。
• 更新案件 - 根据 ID 更新现有案件。
• 根据 ID 获取案件 - 根据案件 ID 获取特定案件的详细信息。
• 根据 ID 关闭案件 - 根据案件 ID 关闭特定案件。
• 根据 ID 打开案件 - 根据案件 ID 打开特定案件。
• 根据 ID 归档案件 - 根据案件 ID 归档特定案件。
• 检查案件名称 - 检查案件名称是否已被使用。
• 获取案件活动 - 根据案件 ID 获取特定案件的活动历史记录。
• 获取案件端点 - 根据案件 ID 获取与特定案件关联的所有端点。
• 根据 ID 获取案件任务 - 根据案件 ID 获取与特定案件关联的所有任务。
• 获取案件用户 - 获取与特定案件关联的所有用户。
• 从案件移除端点 - 根据指定的筛选条件从案件中移除端点。
• 从案件移除任务分配 - 从案件中移除特定的任务分配。
• 将任务分配导入案件 - 将任务分配导入特定案件。
• 列出存储库 - 列出组织中的所有证据存储库。
• 创建 SMB 存储库 - 创建新的 SMB 证据存储库。
• 更新 SMB 存储库 - 更新现有的 SMB 证据存储库。
• 创建 SFTP 存储库 - 创建新的 SFTP 证据存储库。
• 更新 SFTP 存储库 - 更新现有的 SFTP 证据存储库。
• 创建 FTPS 存储库 - 创建新的 FTPS 证据存储库。
• 更新 FTPS 存储库 - 更新现有的 FTPS 证据存储库。
• 验证 FTPS 存储库 - 验证 FTPS 存储库配置，但不创建存储库。
• 创建 Azure Storage 存储库 - 创建新的 Azure Storage 证据存储库。
• 更新 Azure Storage 存储库 - 更新现有的 Azure Storage 证据存储库。
• 验证 Azure Storage 存储库 - 验证 Azure Storage 存储库配置，但不创建存储库。
• 创建 Amazon S3 存储库 - 创建新的 Amazon S3 证据存储库。
• 更新 Amazon S3 存储库 - 更新现有的 Amazon S3 证据存储库。
• 验证 Amazon S3 存储库 - 验证 Amazon S3 存储库配置，但不创建存储库。
• 根据 ID 获取存储库 - 根据存储库 ID 获取特定证据存储库的详细信息。
• 删除存储库 - 根据存储库 ID 删除证据存储库。
• 下载案件 PPC - 下载特定端点和任务的 PPC 文件。
• 下载任务报告 - 下载特定端点和任务的任务报告。
• 获取报告文件信息 - 获取特定端点和任务的 PPC 文件信息。
• 获取组织用户 - 根据组织 ID 获取特定组织的用户。
• 将用户分配给组织 - 将用户分配给特定组织。
• 从组织移除用户 - 从特定组织移除用户。
• 创建组织 - 创建新组织。
• 更新组织 - 更新现有组织。
• 根据 ID 获取组织 - 根据组织 ID 获取特定组织的详细信息。
• 检查组织名称是否存在 - 检查系统中是否已存在该组织名称。
• 获取可共享的部署信息 - 使用部署令牌获取可共享部署的信息。
• 更新组织可共享部署 - 更新组织的可共享部署设置。
• 更新组织部署令牌 - 更新特定组织的部署令牌。
• 删除组织 - 根据组织 ID 删除组织。
• 为组织添加标签 - 为组织添加标签。
• 从组织删除标签 - 从组织删除标签。
• 调用 Webhook - 使用指定参数调用 Webhook。
• 发送数据到 Webhook - 向 Webhook 发送数据。
• 获取任务分配 - 根据任务 ID 获取特定任务的所有分配。
• 更新横幅消息 - 更新系统横幅消息设置。

概述

此 MCP 服务在**大语言模型（LLM）**与 Binalyze AIR 之间搭建桥梁，让你可以通过自然语言进行交互。无需编写代码或学习复杂的 API，即可获取数字取证环境相关信息。

🔑 API 令牌要求

**重要：**身份验证需要 API 令牌。请通过 AIR_API_TOKEN 环境变量设置。

📦 安装

本地开发

# Clone the repository
git clone https://github.com/binalyze/air-mcp

# Change to the project directory
cd air-mcp

# Install dependencies
npm install

# Build the project
npm run build

在 Claude Desktop 中使用

将以下配置添加到 Claude Desktop 配置文件中：

{
  "mcpServers": {
    "air-mcp": {
      "command": "npx",
      "args": ["-y", "@binalyze/air-mcp"],
      "env": {
        "AIR_HOST": "your-api-host.com",
        "AIR_API_TOKEN": "your-api-token"
      }
    }
  }
}

在 Cursor 中使用

1. 前往 Cursor Settings > MCP
2. 使用以下配置添加新的 MCP 服务：

   {
     "mcpServers": {
       "air-mcp": {
         "command": "npx",
         "args": ["-y", "@binalyze/air-mcp"],
         "env": {
           "AIR_HOST": "your-api-host.com",
           "AIR_API_TOKEN": "your-api-token"
         }
       }
     }
   }
   

🧩 在 Smithery 中使用

**注意：**别忘了在编辑器中启用 Agent 模式。

一行安装命令

Claude

npx -y @smithery/cli@latest install @binalyze/air-mcp --client claude --key {smithery_key}

Cursor

npx -y @smithery/cli@latest install @binalyze/air-mcp --client cursor --key {smithery_key}

Windsurf

npx -y @smithery/cli@latest install@rapidappio/rapidapp-mcp --client windsurf --key {smithery_key}

VSCode

npx -y @smithery/cli@latest install @binalyze/air-mcp --client vscode --key {smithery_key}

或者在 VSCode 中使用 Magic Link 选项。

使用方法

在 Claude Desktop 或任何 MCP 客户端中，你都可以使用自然语言命令：

命令	描述
List all assets in the system	显示所有受管理和未受管理的端点，以及操作系统和平台信息
Get details about asset with ID "abc123"	显示特定资产的详细信息
Get tasks for asset with ID "abc123"	显示与特定资产关联的所有任务
List all acquisition profiles	显示可用的采集配置文件
Get acquisition profile details by ID	显示特定采集配置文件的详细信息，包括证据和工件
List all acquisition artifacts	显示所有可用于证据收集的工件，按平台和类别整理
List all acquisition evidences	显示所有可用于取证数据收集的证据项，按平台和类别整理
Assign an acquisition task to endpoint 123abc using profile "full" for case "C-2022-0001"	为指定端点分配证据采集任务
Assign an image acquisition task to endpoint 123abc for volume /dev/sda1 saving to repository 456def	为特定端点和卷分配磁盘映像采集任务，并保存到指定存储库
Create an acquisition profile named "My Custom Profile" with windows evidence ["clp"] and linux artifact ["apcl"]	使用指定配置创建新的采集配置文件
Reboot endpoint 123abc	为特定端点分配重启任务
Shutdown endpoint 123abc	为特定端点分配关机任务
Isolate endpoint 123abc	为特定端点分配隔离任务
Unisolate endpoint 123abc	解除特定端点的隔离
Retrieve logs from endpoint 123abc	为特定端点分配日志检索任务
Update version for endpoint 123abc	为特定端点分配版本更新任务
List all organizations	显示环境中的所有组织
List all cases	显示案件及其状态和创建时间
List all policies	显示安全策略和收集策略
List all tasks	列出所有任务及其状态
List all triage rules	显示用于威胁检测的 YARA、OSQuery 和 Sigma 规则
List all users	显示系统中的所有用户及其详细信息
Get user by ID	按 ID 获取特定用户的详细信息
List all drone analyzers	显示可用的 drone 分析器及其支持的操作系统
Export audit logs	启动审计日志导出。导出任务将在 AIR 服务上于后台运行。
List audit logs	显示审计日志及时间戳、用户、操作、实体等详细信息
Uninstall asset with ID "endpoint-id"	卸载指定资产，但不清除数据（需要提供 filter.includedEndpointIds）
Purge and uninstall asset with ID "endpoint-id"	清除数据并卸载指定资产（需要提供 filter.includedEndpointIds）
Add tags ["tag1", "tag2"] to asset with ID "endpoint-id"	为目标资产添加指定标签（需要提供 filter.includedEndpointIds 和 tags）
Remove tags ["tag1"] from asset with ID "endpoint-id"	从目标资产移除指定标签（需要提供 filter.includedEndpointIds 和 tags）
Create an auto asset tag named "Web Server"	创建一条根据条件自动标记资产的新规则。
Update auto asset tag "fkkEPhpqMNqJeHfi4RyxiWEm" to have tag name "Updated Container" with linux process "containerd" running	使用新条件更新现有的自动资产标记规则。
List all auto asset tag rules	列出所有现有的自动资产标记规则及其配置。
Get auto asset tag with ID "f6kEPhpqMNqJeHfi4RyxiWEm"	显示特定自动资产标记规则的详细信息。
Delete auto asset tag with ID "f6kEPhpqMNqJeHfi4RyxiWEm"	按 ID 删除特定的自动资产标记规则。
Start auto tagging for windows machines	启动自动标记流程，为符合指定条件的 Windows 资产添加标签。
Acquire baseline for case "C-2022-001" from endpoints ["id1", "id2"]	从指定端点采集基线数据，用于指定案件 ID。
Compare baselines for endpoint "id1" with task IDs ["task1", "task2"]	比较特定端点的多个基线采集任务，以识别变化。
Get comparison report for endpoint "id1" and task "task1"	获取特定端点和比较任务的比较结果报告。
List all e-discovery patterns	显示所有可用的电子取证文件类型检测模式
Create a policy named "Production Policy" with specific storage settings	使用自定义设置创建新策略
Update policy with ID "abc123"	使用新设置更新现有策略
Get policy details for ID "System"	显示特定策略的详细信息
Update policy priorities to ["policy1", "policy2", "policy3"]	更新策略的应用顺序
Show policy match statistics	显示与每条策略匹配的端点数量
Get policy distribution for Windows endpoints	显示按平台筛选的策略匹配结果
Get policy match stats for offline endpoints	显示离线资产的策略匹配结果
Delete policy with ID "abc123"	从系统中永久删除策略
Get all assignments for task with ID "def456"	显示与特定任务关联的所有分配
Cancel task assignment with ID "xyz789"	取消特定任务分配
Delete task assignment with ID "xyz789"	永久删除任务分配
Get details about task with ID "40a9dc46-d401-4bd1-82d3-ca9cf97c9024"	显示特定任务的详细信息，包括证据类型和配置
Cancel task with ID "abc123"	取消指定 ID 的运行中任务
Delete task with ID "abc123"	永久删除特定任务
Create triage rule named "My Rule"	创建新的分流规则
List all triage tags	可使用分流规则及其关联标签
Create triage tag named "My Tag"	创建新的分流标签
Update triage rule with ID "abc123"	更新现有分流规则
Delete triage rule with ID "abc123"	永久删除分流规则
Get triage rule with ID "abc123"	获取特定分流规则的详细信息
Validate triage rule syntax	验证分流规则语法，但不创建规则
Assign triage task to endpoints with IDs ["id1", "id2"]	根据筛选条件为端点分配分流任务
Add note to case with ID "C-2022-0002"	按 ID 为特定案件添加备注
Update note with ID "8d9baa16-9aa3-4e4f-a08e-a74341ce2f90" in case "C-2022-0002"	更新特定案件中的现有备注
Delete note with ID "8d9baa16-9aa3-4e4f-a08e-a74341ce2f90" from case "C-2022-0002"	按 ID 从案件中删除特定备注
Export cases data	启动组织案件数据的导出
Export notes for case with ID "case123"	按 ID 启动特定案件备注的导出
Export endpoints for case with ID "case123"	按 ID 启动特定案件端点的导出
Export activities for case with ID "case123"	按 ID 启动特定案件活动的导出
Create a new case named "Incident Response"	在系统中创建新案件
Update case with ID "C-2022-0003" to have name "Updated Case"	按 ID 更新现有案件
Get case with ID "C-2022-0003"	按 ID 获取特定案件的详细信息
Close case with ID "C-2022-0003"	按 ID 关闭特定案件
Open case with ID "C-2022-0003"	按 ID 打开特定案件
Archive case with ID "C-2022-0003"	按 ID 归档特定案件
Change case owner with ID "C-2022-0003" to user with ID "user123"	按 ID 将特定案件的所有者更改为指定用户
Check if case name "Incident 2023-05" is available	检查案件名称是否已被使用
Get case activities for case with ID "C-2022-0003"	按 ID 显示特定案件的活动历史记录
Get endpoints for case with ID "C-2022-0001"	按 ID 获取与特定案件关联的所有端点
Get tasks for case with ID "C-2022-0001"	显示与指定案件关联的所有任务
Get users for case with ID "C-2022-0001"	按 ID 获取与特定案件关联的所有用户
Remove endpoints from case with ID "C-2022-0001"	根据指定筛选条件从案件中移除端点
Remove task assignment with ID "f04666c9-62c7-4cb0-8638-967f05eb7936" from case "C-2022-0001"	从案件中移除特定任务分配
Import task assignments to case with ID "C-2022-0001"	将任务分配导入特定案件
List repositories	列出组织中的所有证据存储库
Create SMB repository with name "My SMB Repository"	使用指定凭据创建新的 SMB 证据存储库
Update SMB repository with ID "abc123"	更新现有 SMB 存储库的配置
Create SFTP repository with name "My SFTP Repository"	使用指定凭据创建新的 SFTP 证据存储库
Update SFTP repository with ID "abc123"	更新现有 SFTP 存储库的配置
Validate FTPS repository configuration	测试 FTPS 存储库配置是否有效，但不创建存储库
Create Azure Storage repository with name "My Azure Storage Repository"	使用指定凭据创建新的 Azure Storage 证据存储库
Update Azure Storage repository with ID "abc123"	更新现有 Azure Storage 存储库的配置
Validate Azure Storage repository with SAS URL	检查提供的 SAS URL 是否可用于访问 Azure Storage
Create a new Amazon S3 repository	将新的 S3 存储桶设置为证据存储库
Update Amazon S3 repository with ID "abc123"	修改现有 S3 存储库配置
Validate Amazon S3 repository configuration	检查 S3 凭据和存储桶是否有效
Get details about repository with ID "abc123"	显示特定证据存储库的详细信息
Delete repository with ID "abc123"	删除特定证据存储库
Download PPC file for endpoint "ep-1" and task "task-1"	下载指定端点和任务的 PPC 文件
Download task report for endpoint "123" and task "456"	下载指定端点和任务的任务报告
Get report file information for endpoint "123" and task "456"	获取特定端点和任务的 PPC 文件信息
Get users for organization with ID "2"	显示属于指定组织的所有用户
Assign users with IDs ["user1", "user2"] to organization "123"	将用户分配到指定组织
Remove user with ID "user1" from organization "123"	从指定组织中移除用户
Create organization with name "My Organization" and contact information	使用指定名称和联系信息创建新组织
Update organization with ID "123"	使用新设置更新现有组织
Get details about organization with ID 2	显示特定组织的详细信息
Check if organization name "My Organization" already exists	检查组织名称是否已被使用
Get shareable deployment information using deployment token "token123"	使用部署令牌获取可共享部署的信息
Update organization shareable deployment with ID "123" to be enabled	更新组织的可共享部署设置
Update deployment token for organization with ID 2	更新特定组织的部署令牌
Delete organization with ID "123"	从系统中永久删除组织
Add tags to organization with ID "123"	为组织添加标签
Delete tags ["tag1", "tag2" ] from organization with ID "123"	从组织中移除标签
Call webhook with slug "air-generic-url-webhook" and data "192.168.1.100" and token "token123"	使用指定参数调用 webhook
Post data to webhook with slug "air-generic-url-webhook"	向 webhook 发送包含所提供数据的 POST 请求
Get task assignments for task with ID "task123"	按 ID 获取特定任务的所有分配
Update banner message	更新系统横幅消息设置