Cybersecurity Intelligence

网络安全情报 MCP 服务

在 ApifyForge 上查看 | 在 Apify Store 上使用

---

快速开始

添加到你的 MCP 客户端（Claude Desktop、Cursor、Windsurf）：

{
  "mcpServers": {
    "cybersecurity-intelligence-mcp": {
      "url": "https://ryanclinton--cybersecurity-intelligence-mcp.apify.actor/mcp"
    }
  }
}

---

为 AI Agent 提供网络安全情报——搜索 200,000 多个 CVE，检查 CISA 已知遭利用漏洞目录，通过证书透明度枚举子域名，审计 DNS 和电子邮件安全，通过 Censys 扫描暴露于互联网的主机，并调查域名注册信息——这一切都通过一个 MCP 服务完成。专为安全工程师、渗透测试人员以及需要结构化威胁情报而无需主动扫描的 AI 工作流打造。

只需连接一次 Claude Desktop、Cursor 或任何兼容 MCP 的客户端，你的 AI 就能按需调查 CVE 暴露情况、分析域名攻击面、映射子域名，并生成带风险评分的安全评估。八种工具封装了六个权威公共数据源：NIST NVD、CISA KEV、Censys、crt.sh 证书透明度日志、DNS/电子邮件安全记录，以及 WHOIS/RDAP 注册数据。

⬇️ 可以提取哪些数据？

数据点	来源	示例
📋 CVE ID、说明、CVSS 评分	NIST NVD	CVE-2021-44228，CVSS 10.0 严重
⚔️ 攻击向量和攻击复杂度	NIST NVD	网络 / 低
🔍 CWE 弱点分类	NIST NVD	CWE-502（反序列化）
🚨 正在遭利用的漏洞标记	CISA KEV	knownRansomwareCampaignUse: "Known"
🗓️ 强制修补的 KEV 截止日期	CISA KEV	2022-05-04（联邦机构）
🌐 暴露于互联网的主机和开放端口	Censys	192.0.2.14:3306（MySQL 暴露）
🔒 每个域名的 SSL/TLS 证书历史记录	crt.sh CT 日志	847 张证书，134 个唯一子域名
📡 A、AAAA、MX、NS、TXT、CNAME、SOA 记录	DNS 查询	a.example.com → 93.184.216.34
🛡️ SPF、DMARC、DKIM 电子邮件安全审计	DNS 查询	DMARC：p=reject，SPF：通过
🏢 域名注册商、注册日期、注册时长	WHOIS/RDAP	注册于 2003-01-01，已注册 8,115 天
⏳ 域名到期时间和距到期的天数	WHOIS/RDAP	2027-01-01 到期，剩余 652 天
⚠️ 带严重性标签的风险指标	域名情报	警报、警告、严重、信息

为什么选择网络安全情报 MCP 服务？

如今进行网络安全调查，意味着要在五六个浏览器标签页之间切换：用 NVD 查询 CVE，用 CISA 的 KEV 目录查看利用状态，用 crt.sh 枚举证书，使用 WHOIS 工具、MX 查询工具，以及通过 Censys 进行主机侦察。每项查询都要手动操作、频繁复制粘贴，得到的原始数据仍需解读。完成一次供应商评估，往往要花 30-45 分钟才能掌握可用的全貌。

此 MCP 服务通过统一接口提供全部六个数据源，AI 客户端可以将其作为工具调用。询问 Claude“哪些漏洞会影响 Apache，且目前正在遭到利用？”，它就会查询 NVD 和 CISA KEV、交叉比对结果，并在不到 30 秒内给出按优先级排序的清单。cyber_domain_intelligence 工具会并行执行 DNS、WHOIS、SSL 和 KEV 检查，并返回带风险评分和标签指标的摘要。

• 定时执行 — 通过 Apify 平台的 cron 定时功能定期运行安全评估，确保威胁情报保持最新
• API 访问 — 使用你的 Apify 令牌，通过 Python、JavaScript 或任何 HTTP 客户端触发运行
• 监控 — 当运行失败或返回异常结果时，接收 Slack 或电子邮件提醒
• 集成 — 将结果传入 Zapier、Make、Google Sheets、HubSpot 或自定义 Webhook
• 支出控制 — 设置每次运行的预算上限，防止 AI Agent 超出你的成本阈值

功能

• NIST NVD CVE 搜索 — 按关键词、CVE ID、CPE 产品字符串、CVSS v3 严重级别（CRITICAL/HIGH/MEDIUM/LOW）或发布日期范围查询 200,000 多个已发布的 CVE；返回 CVSS 基础评分、攻击向量、攻击复杂度、所需权限、用户交互情况以及所有 CWE 弱点 ID
• CISA KEV 目录 — 搜索已知在实际环境中遭到利用的 CVE 权威列表；可按供应商、产品、添加日期和勒索软件活动关联进行筛选；返回联邦补丁截止日期和 knownRansomwareCampaignUse 标记
• Censys 互联网主机扫描 — 使用结构化搜索表达式查询 Censys 的 IPv4 扫描数据，以发现暴露的服务、开放端口和基础设施；支持免费的 Censys API 凭据（免费套餐每月 250 次查询），无凭据时返回演示数据
• 证书透明度枚举 — 搜索 crt.sh，查找曾为某个域名颁发的所有 SSL/TLS 证书；支持去重模式（每个唯一子域名一行）或完整证书历史模式（每张证书一行）；无需凭据
• 活跃子域名计数和时效性 — 每条子域名结果都包含 isActive、lastSeen 和 certificateCount 字段，方便你区分活跃基础设施与历史记录
• DNS 记录枚举 — 一次调用即可检索最多 50 个域名的 A、AAAA、MX、NS、TXT、CNAME 和 SOA 记录
• 电子邮件安全审计 — 检查 SPF 记录是否存在及其策略、DMARC 记录及其执行策略，以及 10 个常用选择器（google、default、selector1、selector2、mail、dkim、k1、k2、s1、s2）的 DKIM；为每个域名报告 hasEmailSecurity 布尔值
• WHOIS/RDAP 域名情报 — 返回注册商、创建日期、到期日期、以天为单位的 domainAge 和 expiresIn、名称服务器、DNSSEC 状态以及域名状态标记（clientDeleteProhibited 等）
• 统一域名情报 — cyber_domain_intelligence 使用 Promise.all 并行协调 DNS、WHOIS、SSL 以及可选的 KEV/NVD 检查，汇总结构化风险档案，并根据域名年龄阈值、电子邮件安全缺口、DNSSEC 状态、KEV 匹配和 CVE 严重程度自动生成带标签的风险指标（CRITICAL、WARNING、ALERT、INFO）
• 风险指标引擎 — 自动将注册时间不足 30 天的域名标记为 CRITICAL 钓鱼风险，将注册时间为 30-180 天的域名标记为 WARNING；发现 KEV 匹配时会发出警报并附上勒索软件数量
• 用于 KEV 交叉引用的供应商推测 — 域名情报工具会提取域名的第一个标签（例如，从 apache.org 中提取“apache”），自动查询 CISA KEV 中与该供应商相关的已遭利用漏洞
• 按事件控制支出 — 每次工具调用都会通过事件专属预算门控检查 Actor.charge()；达到配置的支出上限时，运行会正常停止，而不会继续累积费用
• 无状态的逐请求服务 — 每次对 /mcp 的 POST 请求都会创建一个新的 McpServer + StreamableHTTPServerTransport 配对，确保不同 AI Agent 请求之间不会发生会话串扰

网络安全情报的使用场景

漏洞管理和补丁优先级排序

负责补丁周期的安全工程师会查询 NVD，查找影响其软件技术栈的 CVE，然后立即与 CISA KEV 交叉引用，以确定哪些漏洞已在实际环境中遭到利用。MCP 服务让 AI Agent 能够在一轮对话中完成这两种来源的交叉引用，并返回按严重程度排序且包含 KEV 截止日期的列表，帮助团队确定补丁决策的优先级，无需手动切换标签页。

攻击面与子域发现

红队和漏洞赏金猎人运行 cyber_ssl_certificates 并设置 deduplicate: true，以枚举证书透明度日志中曾出现过的所有子域。与 DNS 暴力枚举不同，这种方法完全被动，无需主动扫描。结果包含 isActive 状态，让分析人员可以立即聚焦于仍在运行的子域，而非历史记录。

钓鱼域名与品牌保护调查

调查可疑域名的威胁情报分析人员会运行 cyber_domain_intelligence，快速获取风险概况：域名年龄（非常新的域名会触发 CRITICAL 标记）、电子邮件欺骗风险（SPF/DMARC 配置缺失）、DNSSEC 状态和证书历史记录。结合 WHOIS 域名年龄与 CT 日志枚举，可以发现某个域名是否利用相似的子域或证书模式来仿冒合法品牌。

供应商和第三方风险评估

采购和供应商风险团队会在供应商入驻前运行域名情报检查，评估其安全态势。该工具会报告电子邮件安全配置（可作为安全成熟度的参考）、与供应商技术栈相关的已知遭利用漏洞，以及域名注册稳定性；这一切都无需访问供应商的内部系统。

面向安全的 AI Agent 工作流

构建用于 IT 运维、SOC 自动化或威胁狩猎的 AI Agent 的开发团队，会将此 MCP 服务用作网络安全情报层。Agent 可以自主检查警报中报告的 CVE 是否列入 CISA KEV 目录、枚举受影响域名的子域，并生成分诊摘要，而无需在 Agent 代码中硬编码 API 集成。

合规性电子邮件安全审计

审计数十个公司自有域名的 SPF、DMARC 和 DKIM 配置的合规团队，会运行 cyber_dns_lookup 并设置 check_email_security: true，每次调用传入最多 50 个域名的数组。摘要响应包含 domainsWithEmailSecurity 和 domainsWithoutEmailSecurity 计数，便于即时生成报告。

如何连接此 MCP 服务

Claude Desktop

将以下内容添加到 Claude Desktop 配置文件（macOS 上为 ~/Library/Application Support/Claude/claude_desktop_config.json）：

{
  "mcpServers": {
    "cybersecurity-intelligence": {
      "url": "https://cybersecurity-intelligence-mcp.apify.actor/mcp",
      "headers": {
        "Authorization": "Bearer YOUR_APIFY_TOKEN"
      }
    }
  }
}

将 YOUR_APIFY_TOKEN 替换为你在 Apify 控制台 获取的令牌。

Cursor、Windsurf 和其他 MCP 客户端

使用相同的配置块，并指向相同的端点。任何支持 Streamable HTTP 传输的客户端，都可以通过 Authorization: Bearer YOUR_APIFY_TOKEN 连接到 https://cybersecurity-intelligence-mcp.apify.actor/mcp。

以编程方式连接（HTTP）

curl -X POST "https://cybersecurity-intelligence-mcp.apify.actor/mcp" \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer YOUR_APIFY_TOKEN" \
  -d '{
    "jsonrpc": "2.0",
    "method": "tools/call",
    "params": {
      "name": "cyber_domain_intelligence",
      "arguments": { "domain": "suspicious-vendor.io", "check_exploited": true }
    },
    "id": 1
  }'

可用的 MCP 工具

工具	来源	说明
cyber_search_vulnerabilities	NIST NVD	按关键词、CVE ID、CPE、严重性和日期范围搜索 CVE。返回 CVSS 评分、攻击向量和 CWE。
cyber_exploited_vulnerabilities	CISA KEV	已知正遭主动利用的 CVE，包含与勒索软件的关联信息及联邦补丁截止日期。
cyber_search_hosts	Censys	按服务、端口、位置或证书主题搜索连接到互联网的主机。
cyber_ssl_certificates	crt.sh	从 CT 日志获取域名的所有 SSL/TLS 证书。用于发现子域或查看完整证书历史记录。
cyber_dns_lookup	系统 DNS	查询最多 50 个域名的 A、AAAA、MX、NS、TXT、CNAME、SOA 记录，以及 SPF、DMARC、DKIM。
cyber_whois_lookup	RDAP/WHOIS	查询最多 50 个域名的注册信息、注册商、域名年龄、到期时间、名称服务器和 DNSSEC。
cyber_domain_intelligence	以上所有来源	并行评估域名安全状况，并自动生成风险指标。
cyber_list_sources	—	列出此服务上可用的所有工具和数据源。

工具输入参数

cyber_search_vulnerabilities

参数	类型	必填	默认值	描述
keyword	string	否	—	搜索 CVE 描述（例如，“log4j”“remote code execution”）
cve_id	string	否	—	直接查询 CVE ID（例如，“CVE-2021-44228”）；优先于 keyword
cpe_name	string	否	—	CPE 产品筛选条件（例如，“cpe:2.3:a:apache:log4j”）
severity	enum	否	—	CVSS v3 严重性：CRITICAL、HIGH、MEDIUM、LOW
date_from	string	否	—	发布起始日期，格式为 YYYY-MM-DD
date_to	string	否	—	发布结束日期，格式为 YYYY-MM-DD
exact_match	boolean	否	false	对 keyword 进行精确短语匹配，而非任意词匹配
max_results	integer	否	50	最大结果数（1–500）；由于 NVD 速率限制，数值较大时速度较慢

cyber_exploited_vulnerabilities

参数	类型	必填	默认值	描述
query	string	否	—	搜索 CVE ID、供应商、产品、名称和描述
vendor	string	否	—	供应商名称（例如，“Microsoft”“Apache”“Citrix”）
product	string	否	—	产品名称（例如，“Exchange Server”“Log4j”）
date_added_from	string	否	—	在此日期之后加入 KEV，格式为 YYYY-MM-DD
date_added_to	string	否	—	在此日期之前加入 KEV，格式为 YYYY-MM-DD
ransomware_only	boolean	否	false	仅返回与已知勒索软件活动相关的 CVE
max_results	integer	否	50	最大结果数（1–1000）

cyber_search_hosts

参数	类型	必填	默认值	描述
query	string	是	—	Censys 搜索表达式（例如，“services.port: 3306 AND location.country: US”）
censys_api_id	string	否	—	来自 censys.io 的 Censys API ID；省略时返回演示数据
censys_api_secret	string	否	—	Censys API Secret
max_results	integer	否	25	最大结果数（1–100；Censys 免费套餐上限：100）

cyber_ssl_certificates

参数	类型	必填	默认值	描述
domain	string	是	—	要搜索的域名（例如，“acmecorp.com”）
include_expired	boolean	否	true	包含过期证书
include_subdomains	boolean	否	true	使用通配符前缀搜索子域名
deduplicate	boolean	否	true	每个唯一子域名返回一行（true），或每张证书返回一行（false）
max_results	integer	否	100	最大结果数（1–5000）

cyber_dns_lookup

参数	类型	必填	默认值	描述
domains	array	是	—	域名数组（1–50），例如，["acmecorp.com", "subsidiary.io"]
record_types	array	否	["A","AAAA","MX","NS","TXT","CNAME","SOA"]	要查询的 DNS 记录类型
check_email_security	boolean	否	true	审核 SPF、DMARC 和 DKIM 记录

cyber_whois_lookup — domains（array，必填）：要查询的域名数组，包含 1–50 个域名。

cyber_domain_intelligence

参数	类型	必填	默认值	描述
domain	string	是	—	要调查的域名（例如，“suspicious-site.xyz”）
check_vulnerabilities	boolean	否	false	同时查询 NVD，查找提及此域名/产品的 CVE（会增加耗时）
check_exploited	boolean	否	true	检查 CISA KEV 中与此域名所属供应商相关的已利用 CVE

输出示例

cyber_search_vulnerabilities 输出

{
  "total": 3,
  "severityBreakdown": {
    "critical": 2,
    "high": 1,
    "medium": 0,
    "low": 0
  },
  "vulnerabilities": [
    {
      "cveId": "CVE-2021-44228",
      "description": "Apache Log4j2 2.0-beta9 through 2.14.1 JNDI features do not protect against attacker-controlled LDAP and other JNDI related endpoints...",
      "severity": "CRITICAL",
      "cvssScore": 10.0,
      "attackVector": "NETWORK",
      "attackComplexity": "LOW",
      "privilegesRequired": "NONE",
      "userInteraction": "NONE",
      "publishedDate": "2021-12-10",
      "lastModifiedDate": "2023-09-14",
      "cwes": ["CWE-502", "CWE-400", "CWE-20"],
      "references": [
        "https://nvd.nist.gov/vuln/detail/CVE-2021-44228",
        "https://logging.apache.org/log4j/2.x/security.html"
      ]
    }
  ]
}

cyber_exploited_vulnerabilities 输出

{
  "total": 2,
  "ransomwareLinked": 1,
  "entries": [
    {
      "cveID": "CVE-2021-44228",
      "vendorProject": "Apache",
      "product": "Log4j",
      "vulnerabilityName": "Apache Log4j2 Remote Code Execution Vulnerability",
      "dateAdded": "2021-12-10",
      "shortDescription": "Apache Log4j2 contains a remote code execution vulnerability...",
      "requiredAction": "Apply updates per vendor instructions.",
      "dueDate": "2021-12-24",
      "knownRansomwareCampaignUse": "Known",
      "notes": "Ransomware campaigns actively exploiting this vulnerability."
    }
  ]
}

cyber_domain_intelligence 输出

{
  "domain": "pinnacle-industries.io",
  "riskIndicators": [
    "CRITICAL: Domain is only 12 days old — very new domain, high phishing risk",
    "WARNING: No email security records found (no SPF, DMARC, or DKIM) — domain may be spoofable",
    "INFO: DNSSEC not enabled — domain is not protected against DNS spoofing",
    "ALERT: 3 known exploited vulnerabilities found for this vendor (1 ransomware-linked)"
  ],
  "dns": {
    "aRecords": ["198.51.100.14"],
    "mxRecords": ["mail.pinnacle-industries.io"],
    "spfRecord": null,
    "dmarcRecord": null,
    "dkimFound": false,
    "hasEmailSecurity": false
  },
  "whois": {
    "registrar": "NameCheap, Inc.",
    "createdDate": "2026-03-08",
    "expiryDate": "2027-03-08",
    "domainAge": 12,
    "expiresIn": 353,
    "nameservers": ["ns1.registrar-servers.com", "ns2.registrar-servers.com"],
    "dnssec": false,
    "status": ["clientTransferProhibited"]
  },
  "certificates": {
    "totalSubdomains": 3,
    "activeSubdomains": 3,
    "topSubdomains": [
      { "subdomain": "www.pinnacle-industries.io", "isActive": true, "lastSeen": "2026-03-09", "certificateCount": 1 },
      { "subdomain": "mail.pinnacle-industries.io", "isActive": true, "lastSeen": "2026-03-09", "certificateCount": 1 }
    ]
  },
  "exploitedVulnerabilities": {
    "total": 3,
    "entries": [
      {
        "cveID": "CVE-2023-44487",
        "vendorProject": "IETF",
        "product": "HTTP/2",
        "knownRansomwareCampaignUse": "Known",
        "dueDate": "2023-10-31"
      }
    ]
  }
}

cyber_ssl_certificates 输出（已去重的子域名）

{
  "domain": "betaindustries.com",
  "totalSubdomains": 47,
  "activeSubdomains": 31,
  "subdomains": [
    { "subdomain": "www.betaindustries.com", "isActive": true, "lastSeen": "2026-02-14", "certificateCount": 12 },
    { "subdomain": "api.betaindustries.com", "isActive": true, "lastSeen": "2026-01-30", "certificateCount": 4 },
    { "subdomain": "staging.betaindustries.com", "isActive": false, "lastSeen": "2024-08-01", "certificateCount": 2 }
  ]
}

⬆️ 输出字段

cyber_search_vulnerabilities

字段	类型	描述
total	integer	返回的 CVE 数量
severityBreakdown.critical	integer	严重级别为 CRITICAL 的 CVE 数量
severityBreakdown.high	integer	严重级别为 HIGH 的 CVE 数量
vulnerabilities[].cveId	string	CVE 标识符（例如，CVE-2021-44228）
vulnerabilities[].severity	string	CRITICAL、HIGH、MEDIUM 或 LOW
vulnerabilities[].cvssScore	number	CVSS v3 基础评分（0.0–10.0）
vulnerabilities[].attackVector	string	NETWORK、ADJACENT、LOCAL 或 PHYSICAL
vulnerabilities[].attackComplexity	string	LOW 或 HIGH
vulnerabilities[].privilegesRequired	string	NONE、LOW 或 HIGH
vulnerabilities[].cwes	array	CWE 弱点标识符
vulnerabilities[].publishedDate	string	NVD 发布日期
vulnerabilities[].references	array	参考链接

cyber_domain_intelligence

字段	类型	描述
domain	string	规范化后的域名（去除 http://、www. 和路径）
riskIndicators	array	带标签的风险字符串（CRITICAL、WARNING、ALERT、INFO）
dns.aRecords	array	IPv4 地址
dns.mxRecords	array	邮件交换记录
dns.spfRecord	string or null	完整的 SPF TXT 记录值
dns.dmarcRecord	string or null	完整的 DMARC TXT 记录值
dns.dkimFound	boolean	是否在 10 个选择器中找到任何 DKIM 记录
dns.hasEmailSecurity	boolean	如果找到 SPF、DMARC 或 DKIM 中的任意一项，则为 True
whois.domainAge	integer	域名注册天数
whois.expiresIn	integer	距域名到期的天数
whois.dnssec	boolean	是否启用了 DNSSEC
certificates.totalSubdomains	integer	在 CT 日志中找到的唯一子域名数量
certificates.activeSubdomains	integer	拥有有效证书的子域名数量
exploitedVulnerabilities.total	integer	猜测的供应商对应的 KEV 条目数（当 check_exploited: true 时提供）

使用网络安全情报工具的费用是多少？

此 MCP 服务采用 按事件付费定价，每次工具调用 $0.045。每次工具调用均计为一个事件，费用不受结果大小影响。平台计算费用已包含在内。

场景	工具调用次数	每次调用费用	总费用
快速测试（查询单个 CVE）	1	$0.045	$0.045
域名评估（域名情报）	1	$0.045	$0.045
完整的 7 工具调查	7	$0.045	$0.315
每日监控（10 个域名）	10	$0.045	$0.45
每周漏洞扫描（搜索 50 个 CVE）	50	$0.045	$2.25

你可以为每次运行设置最高支出限额以控制成本。达到预算后，MCP 服务会正常停止，而不会继续产生费用。

Apify 免费套餐每月包含 $5 的平台抵用金，相当于每月约 111 次免费工具调用。相比之下，提供同等数据访问权限的商业威胁情报平台每月收费 $500–2,000。

Cybersecurity Intelligence MCP Server 的工作原理

该服务运行在 Apify 的 Standby 模式下——这是一个在请求之间保持运行的持久进程。每个 POST /mcp 请求都会实例化一个新的 McpServer，并与 StreamableHTTPServerTransport 配对（不会生成会话 ID），执行工具后，在响应的 close 事件触发时关闭二者。不同 AI Agent 会话之间不会共享状态。

每个 MCP 工具都会通过 actor-client.ts 中的 runActor() helper 调用专用的 Apify actor。该 helper 使用 120 秒超时（由于速率限制，NVD 和 CT 日志查询使用 180 秒）调用 client.actor(actorName).call(input, { waitSecs, memory: 256 })，然后从 defaultDatasetId 获取条目。调用失败时会返回空数组，而不是抛出错误，因此上游数据源不可用时会优雅降级，不会导致整个工具调用失败。

cyber_domain_intelligence 工具使用 Promise.all() 并行运行 3–5 个 actor。所有结果返回后，确定性规则引擎会依次进行评估：域名年龄阈值（< 30 天 = CRITICAL，30–180 天 = WARNING）、即将到期的情况、电子邮件安全缺失项、DNSSEC 状态、CT 日志覆盖情况，以及 KEV 匹配数量和其中的勒索软件相关数量。风险指标会附加严重性前缀（CRITICAL、WARNING、ALERT、INFO）。当 check_exploited: true 时，该工具会提取域名的首个标签作为供应商名称（例如，从“citrix.com”中提取“citrix”），并据此查询 CISA KEV；对于通用名称，则会静默返回零条结果，不影响其他输出。

获得最佳结果的提示

1. 将 cyber_domain_intelligence 作为第一个工具使用。 它会在单次 $0.045 调用中并行执行 DNS、WHOIS、SSL 和 KEV 检查。后续深入调查（例如查看完整证书历史或扩大 CVE 搜索范围）再使用单独的工具。

2. 启用 ransomware_only: true，以便确定优先级。 查询 CISA KEV 时，筛选与勒索软件相关的 CVE，可将数千条条目缩小到事件响应团队应视为 P1 修补义务的范围。

3. 发现时使用 exact_match: false，确认时使用 true。 NVD 关键字搜索设为 exact_match: false 时，会查找提及查询中任意词语的 CVE，适合广泛发现。需要查找针对特定产品名称的 CVE、避免误报时，请切换为 true。

4. 向 DNS 和 WHOIS 工具传入数组。 cyber_dns_lookup 和 cyber_whois_lookup 每次调用最多接受 50 个域名。审计 50 个公司自有域名总计只需 $0.045，与查询单个域名的费用相同。

5. 使用带服务筛选条件的 Censys 查询，以获取有针对性的结果。 像“location.country: US”这样的宽泛查询很快就会触及免费版的 100 条结果上限。使用服务筛选条件缩小范围：services.service_name: SSH AND location.country: DE AND services.port: 22 可查找特定的暴露基础设施。

6. 进行证书取证时，设置 deduplicate: false。 调查特定事件或域名接管时，将默认的去重子域名视图切换为完整证书历史，可显示每次证书签发事件、签发机构和有效期范围，有助于还原时间线。

7. 谨慎设置 check_vulnerabilities: true。 在 cyber_domain_intelligence 中添加 NVD 搜索会增加一次并行 actor 调用，并因 NVD 速率限制而最多增加 180 秒等待时间。只有在需要查找提及域名名称的 CVE，而不只是与供应商相关的 KEV 条目时，才使用此选项。

与其他 Apify actor 组合使用

Actor	组合方式
WHOIS Domain Lookup	直接用于批量检查大型域名列表（每次调用 50 个）的域名年龄；结果可用于域名年龄风险评分
DNS Record Lookup	单独运行，对所有公司域名进行 SPF/DMARC/DKIM 审计；将结果导出到 Google Sheets，用于合规报告
Censys Search	在供应商安全审查前，查询特定 IP 地址范围或 ASN 的互联网暴露情况
Website Tech Stack Detector	检测目标域名运行的软件技术栈，然后将检测到的技术作为 CPE 名称传入 cyber_search_vulnerabilities
Website Contact Scraper	收集目标域名的安全联系邮箱地址，然后使用此 MCP 的 WHOIS 年龄和 DNS 数据，在联系前标记高风险域名
Company Deep Research	生成公司情报档案，然后将公司的域名传入 cyber_domain_intelligence，补充安全层面的信息
crt.sh Certificate Search	直接执行全量证书历史搜索（最多 5,000 条记录），用于大型企业的子域名映射

限制

• 完全被动的数据收集 — 不进行主动扫描、端口探测或数据包注入。此服务无法替代 Nmap、Nessus 或 Burp Suite 等工具进行主动渗透测试。
• NVD 速率限制 — 不使用 API 密钥时，NIST NVD API 约允许每 30 秒发送 5 个请求。由于强制延迟，较宽的日期范围或较大的 max_results 值（200+）需要数分钟才能完成。
• Censys 免费版配额 — Censys 免费方案每月允许 250 次查询。未提供凭据时，cyber_search_hosts 工具会返回带有 _dryRun 标记的演示数据，而非真实扫描结果。
• WHOIS 注册人隐私保护 — GDPR 和 ICANN 隐私服务意味着现代域名注册的注册人姓名、地址和联系邮箱几乎都会被隐藏。域名年龄和注册商数据仍可获取。
• DKIM 选择器覆盖范围 — DNS 工具会检查 10 个常见的 DKIM 选择器。使用自定义或特定服务选择器（例如 Mailchimp 的 k1、SendGrid 的 s1）的组织，可能无法检测到所有选择器。dkimFound: false 并不能保证 DKIM 不存在。
• 供应商启发式识别的准确性 — 域名情报工具会根据域名的第一个标签猜测供应商名称。通用域名（例如 “cloud.company.com”）可能会返回与 “cloud” 供应商无关的 KEV 结果。若要精确匹配，请使用显式 vendor 参数直接调用 cyber_exploited_vulnerabilities。
• CT 日志覆盖范围 — crt.sh 会索引主要的 Certificate Transparency 日志，但并非所有日志。使用 crt.sh 未索引的日志所签发证书保护的子域名不会显示。
• 不提供历史 DNS 数据 — DNS 查询仅返回当前有效记录。若要跟踪历史 DNS 变更，请与 Website Change Monitor 组合使用。

集成

• Zapier — 在采购系统中添加新供应商时触发域名情报检查，并将风险指标发布到 Slack
• Make — 构建自动化的 CVE 分类工作流，每天查询 CISA KEV，并为新加入的已遭利用漏洞创建 Jira 工单
• Google Sheets — 将一组域名的 DNS 和电子邮件安全审计结果导出到合规跟踪电子表格
• Apify API — 在 Python 或 JavaScript CI/CD 流水线中以编程方式调用工具端点，执行部署前安全检查
• Webhooks — 定时漏洞扫描发现新的 CRITICAL 或 ALERT 风险指标时接收警报
• LangChain / LlamaIndex — 将此 MCP 服务作为网络安全情报工具层嵌入由大模型驱动的 SOC 自动化或威胁狩猎 Agent

❓ 常见问题

一次调用最多能搜索多少个 CVE？ 通过 max_results 参数，每次调用最多可返回 500 条结果。对于较宽日期范围的扫描，受 NVD 速率限制影响，大型结果集可能需要 2–5 分钟。对于大多数补丁优先级排序工作流，使用严重性筛选器获取 50–100 条结果就足够了。

Cybersecurity intelligence MCP 会主动扫描或向目标基础设施发送数据包吗？ 不会。所有数据均从公共来源被动收集：NVD CVE 数据库、CISA KEV 目录、Censys 扫描数据（由 Censys 预先收集，不会由你的查询触发）、crt.sh Certificate Transparency 日志、标准 DNS 解析以及 WHOIS/RDAP 端点。不会向目标系统发送探测请求。

使用此工具进行域名侦察合法吗？ 合法——使用的所有数据源均公开可用。NVD、CISA KEV 和 crt.sh 均为政府数据库或公益数据库。DNS 解析和 WHOIS 查询是标准的互联网基础设施请求。Censys 独立运行互联网扫描，并提供针对这些数据的搜索 API。关于网页抓取和数据收集合法性的指导，请参阅 Apify 的指南。

CVE 数据有多新？ NVD 数据会在查询时实时获取，因此结果反映最新发布的 CVE，不存在缓存延迟。CISA KEV 数据也会实时获取。Censys 扫描数据反映其最近一次覆盖整个互联网的扫描，该扫描持续运行。

我能否检查某个特定 CVE 是否正遭到利用？ 可以。使用 query: "CVE-2024-XXXXX" 调用 cyber_exploited_vulnerabilities，也可以将 CVE ID 作为 query 参数提供。如果该 CVE 已列入 CISA KEV 目录，返回结果会包含 dueDate 联邦补丁截止日期和 knownRansomwareCampaignUse 标记。

这与 Shodan 或其他商业威胁情报平台有何不同？ Shodan、GreyNoise 和 Recorded Future 都是订阅服务，收费为每月 $49–2,000。此 MCP 服务提供类似的被动侦察能力——CVE 数据、互联网主机暴露情况（通过 Censys）、证书枚举、DNS 和 WHOIS——每次工具调用仅需 $0.045，无需订阅承诺。Apify 免费套餐每月包含前 111 次免费调用。

我能否将此 MCP 服务用于 Claude 以外的其他 AI 客户端？ 可以。此服务实现了 Model Context Protocol 规范中的 Streamable HTTP 传输方式。它兼容任何 MCP 客户端：Claude Desktop、Cursor、Windsurf、Continue.dev，以及任何使用 @modelcontextprotocol/sdk 的框架。使用 Apify 令牌作为 Bearer 标头连接到 https://cybersecurity-intelligence-mcp.apify.actor/mcp。 如果数据源暂时不可用，会发生什么？ 单个 Actor 失败时会返回空数组，而不会抛出异常。cyber_domain_intelligence 工具会使用 Promise.all() 并行运行各数据源；如果某个数据源（例如 Censys）失败，其他组件（DNS、WHOIS、CT 日志）仍会返回结果，并根据可用数据生成风险指标。响应会不完整，而不是完全没有响应。

可以一次扫描多个域名吗？ cyber_dns_lookup 和 cyber_whois_lookup 每次调用最多接受 50 个域名的数组。cyber_domain_intelligence 每次调用仅针对一个域名，因为它会针对每个域名并行运行 3–5 个 Actor。若要批量评估域名，请循环调用该工具，或使用单独的 DNS 和 WHOIS 工具进行批量处理。

风险指标引擎的准确性如何？ 风险指标规则是确定且保守的：域名年龄阈值、电子邮件安全机制是否存在、DNSSEC 状态以及 KEV 匹配数量。这些规则旨在生成可采取行动的信号，而非概率风险评分。预期会出现误报（例如，将合法的新域名标记为高钓鱼风险）；请将 CRITICAL 和 WARNING 标记视为调查的起点，而非定论。

可以安排此 MCP 服务定期运行安全评估吗？ 此 MCP 服务以 Apify Standby 模式运行，供交互式使用。若要安排定期评估，请直接使用底层 Apify Actor（NVD CVE Search、CISA KEV Search、DNS Record Lookup），通过 Apify 平台设置 cron 定时任务；也可以在定时任务中以编程方式调用 MCP 端点。

帮助我们改进

如果遇到问题，可以在 Apify 账户中启用运行共享，帮助我们更快地调试：

1. 前往 账户设置 > 隐私
2. 启用 与公开的 Actor 创建者共享运行记录

这样，当出现问题时，我们就能查看你的运行详情，从而更快地修复问题。只有 Actor 开发者可以查看你的数据，公众无法查看。

故障排除

• cyber_search_vulnerabilities 使用有效关键词却未返回结果 — NVD 对 CPE 名称的关键词搜索区分大小写，但对一般关键词不区分。如果查询的是产品名称，请尝试不同写法，例如："log4j"、"log4j2"、"log4shell"。还可以尝试使用 exact_match: false，将搜索范围扩大为匹配任意词语。

• cyber_search_hosts 返回标记为 _dryRun 的演示数据 — 未提供 Censys 凭据。请在 censys.io 获取免费的 API ID 和密钥，并在工具调用中将其作为 censys_api_id 和 censys_api_secret 传入。免费套餐每月提供 250 次查询。

• cyber_domain_intelligence 风险指标提及了与无关供应商匹配的 KEV 结果 — 工具会根据域名的第一个标签猜测供应商。例如，对于 "cloud.mycompany.com" 这样的域名，工具会针对供应商 "cloud" 查询 CISA KEV，因此会返回基础设施层面的结果。请直接调用 cyber_exploited_vulnerabilities 并明确指定 vendor 参数，以获得准确结果。

• DNS 查询对某些记录类型返回空记录 — 并非所有域名都配置了每种记录类型。AAAA 记录需要 IPv6 地址；CNAME 记录只存在于非顶级子域名中；某些权威服务器可能会阻止 SOA 记录查询。某种记录类型返回空数组表示该记录不存在，而不是查询失败。

• 漏洞搜索耗时超过 3 分钟 — NVD 的速率限制约为每 30 秒 5 次请求。在较宽的日期范围内将 max_results 设为 500，可能需要依次请求 10 个或更多 NVD API 页面，且每次请求都受速率限制。请减少 max_results 或缩小日期范围，将耗时控制在 2 分钟以内。

支持

发现 Bug 或有功能请求？请在此 Actor 的页面上提交 Issue。如需定制解决方案或企业集成，请通过 Apify 平台联系我们。