mcp-threatintel

MCP Threat Intel Server

提供统一访问多个威胁情报来源的 MCP 服务，适用于安全研究和分析。

为什么使用它？

如果你正在进行安全研究、事件响应或威胁分析，这个 MCP 服务可以让你：

• 统一查询 - 同时在多个来源中查询 IP、域名、哈希和 URL
• 减少上下文切换 - 无需为不同的情报来源打开多个浏览器标签页
• 关联情报 - 在一次响应中查看所有已配置来源的结果
• 适合免费套餐 - 支持免费 API 套餐；来源不可用时会优雅降级
• 无需密钥即可使用 - Feodo Tracker（僵尸网络 C2）无需任何 API 密钥即可使用

功能

类别	功能
统一查询	在所有来源中查询 IP、域名、文件哈希和 URL
AlienVault OTX	威胁脉冲、失陷指标、社区情报
AbuseIPDB	IP 信誉、滥用报告、置信度评分
GreyNoise	区分互联网噪声与定向攻击、识别扫描器
abuse.ch	URLhaus、MalwareBazaar、ThreatFox、Feodo Tracker

前置条件

• Node.js 18+
• 你偏好的威胁情报来源的 API 密钥（见下文）

安装

使用 npm（推荐）

npx mcp-threatintel-server

或全局安装：

npm install -g mcp-threatintel-server

从源码安装

git clone https://github.com/aplaceforallmystuff/mcp-threatintel.git
cd mcp-threatintel
npm install
npm run build

配置

用于 Claude Desktop

添加到 Claude Desktop 配置文件：

macOS：~/Library/Application Support/Claude/claude_desktop_config.json Windows：%APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "threatintel": {
      "command": "npx",
      "args": ["-y", "mcp-threatintel-server"],
      "env": {
        "OTX_API_KEY": "your-otx-api-key",
        "ABUSEIPDB_API_KEY": "your-abuseipdb-api-key",
        "GREYNOISE_API_KEY": "your-greynoise-api-key",
        "ABUSECH_AUTH_KEY": "your-abusech-auth-key"
      }
    }
  }
}

用于 Claude Code

添加到 ~/.claude.json：

{
  "mcpServers": {
    "threatintel": {
      "command": "npx",
      "args": ["-y", "mcp-threatintel-server"],
      "env": {
        "OTX_API_KEY": "your-otx-api-key",
        "ABUSEIPDB_API_KEY": "your-abuseipdb-api-key",
        "GREYNOISE_API_KEY": "your-greynoise-api-key",
        "ABUSECH_AUTH_KEY": "your-abusech-auth-key"
      }
    }
  }
}

API 密钥

服务	必需	免费套餐	获取密钥
AlienVault OTX	否	是（不限量）	otx.alienvault.com
AbuseIPDB	否	是（每天 1,000 次）	abuseipdb.com
GreyNoise	否	是（有限）	greynoise.io
abuse.ch	否	是	auth.abuse.ch
Feodo Tracker	否	是	公共 JSON 数据源

注意： 工具会根据你提供的 API 密钥动态启用。Feodo Tracker 无需身份验证即可使用（公共 JSON 数据源）。

使用示例

查看可用来源

“配置了哪些威胁情报来源？”

“显示 threatintel 状态”

IP 调查

“检查 185.220.101.1 是否具有恶意”

“在所有威胁情报来源中查询此 IP”

域名分析

“evil-domain.com 是否已知具有恶意？”

“检查域名信誉”

恶意软件哈希查询

“在威胁情报中查询此 SHA256 哈希”

“此文件哈希是否为已知恶意软件？”

URL 分析

“检查此 URL 是否存在于任何屏蔽列表中”

僵尸网络跟踪（无需 API 密钥）

“显示活跃的僵尸网络 C2 服务器”

“获取 Emotet 的 Feodo Tracker 数据”

威胁脉冲

“在 OTX 中搜索近期勒索软件脉冲”

“获取最新威胁情报脉冲”

可用工具

状态

工具	描述
threatintel_status	检查已配置哪些威胁情报来源

统一查询

工具	描述
threatintel_lookup_ip	在所有已配置的来源中查询 IP
threatintel_lookup_domain	在所有已配置的来源中查询域名
threatintel_lookup_hash	在各个来源中查询文件哈希（MD5/SHA1/SHA256）
threatintel_lookup_url	在各个来源中查询 URL

AbuseIPDB（需要 API 密钥）

工具	描述
abuseipdb_check	检查 IP 信誉和滥用历史

AlienVault OTX（需要 API 密钥）

工具	描述
otx_get_pulses	获取近期威胁情报脉冲
otx_search_pulses	按关键词搜索情报脉冲

GreyNoise（需要 API 密钥）

工具	描述
greynoise_ip	检查 IP 是互联网噪声还是定向威胁

URLhaus（需要 abuse.ch 身份验证密钥）

工具	描述
urlhaus_lookup	在 URLhaus 中查询 URL、域名或 IP
urlhaus_recent	获取近期恶意软件 URL

MalwareBazaar（需要 abuse.ch 身份验证密钥）

工具	描述
malwarebazaar_hash	按哈希查询恶意软件样本
malwarebazaar_recent	获取近期恶意软件样本
malwarebazaar_tag	按标签搜索样本

ThreatFox（需要 abuse.ch 身份验证密钥）

工具	描述
threatfox_iocs	获取 ThreatFox 中近期的 IOC
threatfox_search	搜索 ThreatFox IOC

Feodo Tracker（无需密钥）

工具	描述
feodo_tracker	获取活跃的僵尸网络 C2 服务（QakBot、Emotet、Dridex 等）

开发

# Watch mode for development
npm run watch

# Build TypeScript
npm run build

# Run locally
node dist/index.js

故障排除

“未配置威胁情报来源”

无需任何 API 密钥即可使用此服务——Feodo Tracker 仍可正常工作。对于其他来源，请在配置中添加相应的 API 密钥。

“API error: 401 Unauthorized”

您的 API 密钥无效或已过期。请从相应服务生成新密钥。

“API error: 429 Too Many Requests”

您已超出某项服务的速率限制。请稍等片刻或升级您的 API 套餐。

部分结果

如果某些来源返回错误，统一查询工具仍会返回正常工作的来源所提供的结果。请检查 threatintel_status，查看哪些来源配置正确。

数据来源

AlienVault OTX

Open Threat Exchange——由社区驱动的威胁情报平台，其情报脉冲包含失陷指标。

AbuseIPDB

众包 IP 信誉数据库，收录了全球网络管理员提交的滥用报告。

GreyNoise

识别扫描互联网的 IP 与发起定向攻击的 IP，帮助减少威胁检测中的误报。

abuse.ch 项目

• URLhaus - 恶意软件分发 URL
• MalwareBazaar - 恶意软件样本库
• ThreatFox - IOC 共享平台
• Feodo Tracker - 僵尸网络 C2 基础设施追踪

贡献

欢迎贡献！请参阅 CONTRIBUTING.md 了解指南。

许可证

MIT——详情请参阅 LICENSE。

链接

• Model Context Protocol
• MCP 规范
• GitHub 仓库

相关项目

如需更多威胁情报功能，可考虑：

• @burtthecoder/mcp-shodan - Shodan 互联网扫描
• @burtthecoder/mcp-virustotal - VirusTotal 恶意软件分析