Enrichment MCP Server

Enrichment MCP 服务

此项目是一个模型上下文协议（MCP）服务，用于根据提供的可观测对象执行信息丰富。已配置的服务与提供的可观测对象组合将决定调用哪些信息丰富服务。

此工具提供了一个简单的 MCP 服务实现，利用 security-cli Python 包调用不同服务进行信息丰富和通信，从而使用常见服务（例如 VirusTotal、Hybrid Analysis 等）执行第三方信息丰富。

MCP 服务

此 enrichment-mcp MCP 服务实现提供以下工具。

• lookup-observable - 一个通用端点，用于检查给定的可观测对象并将其路由到相应工具。

支持的服务

目前支持以下服务和可观测对象类型：

如果你有任何建议，或认为应该实现其他服务，请创建 issue 或 pull request！

名称	是否需要 API 密钥	支持 IP	支持域名	支持 URL	支持电子邮件
VirusTotal	是	是	是	是	否
HybridAnalysis	是	是	是	是	否
AlienVault	是	是	是	是	否
Shodan	是	是	是	是	否
Urlscan.io	是	是	是	是	否
AbuseIPDB	是	是	否	否	否
HaveIBeenPwned	是	否	否	否	是

要求

此 MCP 服务使用 security-cli 和自定义的 config.yaml.example 文件来确定可观测对象查询支持哪些第三方信息丰富服务。

在本地 mac 系统上运行此服务的最简单方式是：

uv run --env-file .env server.py

这要求你使用提供的模板 .env.example，并创建一个包含密钥的新 .env 文件。

注意：请查看 security-cli 的文档，了解如何配置不同服务。 默认配置适用于大多数使用场景。

环境变量

注意：强烈建议在实现此服务时将密钥设置为环境变量。别再存储密钥了，糊涂蛋。

为了让 security-cli 包发现这些变量，它们必须采用特定格式。以下是目前支持的变量列表：

• ENRICHMENT_MCP_VIRUSTOTAL_KEY
• ENRICHMENT_MCP_HYBRIDANALYSIS_KEY
• ENRICHMENT_MCP_ALIENVAULT_KEY
• ENRICHMENT_MCP_SHODAN_KEY
• ENRICHMENT_MCP_URLSCAN_KEY
• ENRICHMENT_MCP_ABUSEIPDB_KEY
• ENRICHMENT_MCP_HIBP_KEY

信息丰富配置

每个信息丰富服务都定义在 securiy-cli 配置文件中。此外，我还将可执行的信息丰富类型拆分开来。这意味着在当前实现中，我们只有一种名为 enrich 的操作类型，但未来可以扩展支持 scans 或 queries 等操作。

在这些高层级操作之下，我们列出可观测对象类型，随后列出支持该类型的服务。目前支持的可观测对象类型包括：

• ipaddress - IPv4 地址
• domain - 域名或网络位置
• url - 包含架构等信息的完整 URL
• email - 标准电子邮件地址

我们也支持以下类型，但目前尚未实现：

• md5 - 文件 MD5 哈希值
• sha1 - 文件 SHA1 哈希值
• sha256 - 文件 SHA256 哈希值

每项服务都必须包含 name 和 template。可以提供 apikey 字段，但我们建议使用环境变量。

提示词模板

每个服务和可观测类型都可以有自己的响应模板。这些模板位于 security-cli templates 目录中，所有模板都应存放在此处。

每个已定义的服务都有一个使用 jinja2 模板的提示词模板。你可以根据需要修改这些模板，但文件名格式必须保持不变。

这些文件的文件名格式如下。

{service.name}.{enrichment.type}.jinja2

确保模板中的响应对象包含正确的字段，否则会收到错误。

下面是提示词 Enrich this IP 91.195.240.94 的输出示例，其中混杂了一些错误：

{
    "virustotal": "error occurred looking up ip 91.195.240.94 in virustotal",
    "alienvault": "Service: alienvault\nIPAddress: \nReputation Score: 0\nTotal Votes: ",
    "shodan": "Service: shodan\nIPAddress: 91.195.240.94\nLast Analysis Results: 2025-04-25T21:02:52.644602\n\nTags\n\n\nAdditional information includes:\n\n* Latitude: 48.13743\n* Longitude: 11.57549\n* ASN: AS47846\n* Domains: ["servervps.net"]",
    "hybridanalysis": "error occurred looking up ip 91.195.240.94 in hybridanalysis",
    "urlscan": "Service: urlscan\nResult: https://urlscan.io/api/v1/result/01966efe-c8fa-74a4-bfc0-1ed479838e85/\n\nStats\n\n* uniqIPs - 6\n\n* uniqCountries - 2\n\n* dataLength - 432561\n\n* encodedDataLength - 218606\n\n* requests - 14\n\n\nPage\n* country - DE\n* server - Parking/1.0\n* ip - 91.195.240.94\n* mimeType - text/html\n* title - wearab.org\xa0-\xa0Informationen zum Thema wearab.\n* url - https://login.wearab.org/\n* tlsValidDays - 364\n* tlsAgeDays - 0\n* tlsValidFrom - 2025-04-25T00:00:00.000Z\n* domain - login.wearab.org\n* apexDomain - wearab.org\n* asnname - SEDO-AS SEDO GmbH, DE\n* asn - AS47846\n* tlsIssuer - Encryption Everywhere DV TLS CA - G2\n* status - 200\n",
    "abuseipdb": "Service: abuseripdb\nIPAddress: 91.195.240.94\nLast Analysis Result: 2025-03-30T14:04:45+00:00\nScore: 7\nUsage: Data Center/Web Hosting/Transit\nIs Tor: False\nIs Whitelisted: False\nISP: Sedo Domain Parking"
}

MCP 服务用法

如需使用预构建的服务，请参阅此处的说明：https://modelcontextprotocol.io/quickstart/user

• 下载 Claude for Desktop
• 安装 uv

curl -LsSf https://astral.sh/uv/install.sh | sh

• 下载此仓库，并将其添加到 Claude for Desktop 配置中
  • Claude for Desktop > 设置 > 开发者 > 编辑配置

你可以复制提供的 .desktop_config.example.json 文件

如果你想自行创建，以下是 Claude Desktop 的文件路径。

macOS: ~/Library/Application Support/Claude/claude_desktop_config.json
Windows: %APPDATA%\Claude\claude_desktop_config.json

使用任意文本编辑器打开配置文件。将文件内容替换为以下内容：

{
	"mcpServers": {
		"enrichment-mcp": {
			"command": "/ABSOLUTE/PATH/TO/PARENT/FOLDER/uv",
			"args": [
				"--directory",
				"/ABSOLUTE/PATH/TO/CLONED/REPOSITORY/enrichment-mcp",
				"run",
				"server.py"
			]
		}
    }
}

4. 重新启动 Claude for Desktop

现在，你应该会在聊天栏中看到两个图标：一个锤子图标，用于显示可用工具；另一个连接图标，用于显示已定义的提示词和所需输入。

贡献

欢迎贡献！欢迎提交拉取请求。