SecOps Field Notes

secops-field-notes-mcp

安全分析师每个班次都要手动处理十几次的工作，现在可以作为工具供你的编码 Agent 调用：评估 CVE、从报告中提取指标并为工单去武器化、正确读取钓鱼邮件的邮件头、判断哈希类型、解码 JWT、将时间戳转换为人类可读的格式、解开 base64 编码的十六进制载荷，以及检查 CVE 是否在 CISA 的在野利用列表中。

免费、MIT 许可、无需账户、无遥测。除了 KEV 查询外，所有操作都完全在你的设备上运行。

安装

固定版本。

Claude Code

claude mcp add secops-field-notes -- npx -y github:getlarkwright/secops-field-notes-mcp#v0.1.1

Claude Desktop、Cursor 或任何使用 JSON 配置的客户端

{
  "mcpServers": {
    "secops-field-notes": {
      "command": "npx",
      "args": ["-y", "github:getlarkwright/secops-field-notes-mcp#v0.1.1"]
    }
  }
}

Docker

{
  "mcpServers": {
    "secops-field-notes": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "ghcr.io/getlarkwright/secops-field-notes-mcp:0.1.1"]
    }
  }
}

npx 方式需要 Node 18 或更高版本。也已收录在官方 MCP 注册表中，名称为 io.github.getlarkwright/secops-field-notes-mcp。

工具

工具	能回答的问题	网络
cvss_score	根据向量或八项指标计算 CVSS 3.1 基础分，结果与 FIRST 的计算完全一致	无
extract_iocs	从文本块中提取所有 IP、域名、URL、电子邮件地址、CVE ID 和哈希——输入时还原去武器化内容，输出时进行去武器化	无
defang_text	在 hxxp[://]、[.]、[at] 及其原始形式之间转换	无
analyze_email_headers	按顺序分析 Received 链及各跳延迟、源 IP、SPF/DKIM/DMARC，以及钓鱼邮件初步排查时需要关注的不匹配项	无
identify_hash	根据格式特征识别 bcrypt、Argon2、yescrypt、Unix crypt、LM:NT、MD5/NTLM、SHA-1/224/256/384/512，并说明其含义	无
decode_jwt	显示 Header、Payload 和日期格式的时间；标记 alg:none、过期以及永不过期的令牌	无
convert_timestamp	将 Epoch 秒/毫秒/微秒、Windows FILETIME、ISO 8601、RFC 2822 转换为各种格式	无
decode_layers	逐层解码 base64 / hex / URL / HTML 实体 / ROT13，并查看每一层的结果	无
lookup_kev	判断该 CVE 是否在野利用——显示 CISA KEV 的收录日期、截止日期、勒索软件使用情况和所需操作	CISA 数据源，缓存 1 小时
latest_field_note	本周有哪些漏洞遭到利用	RSS

analyze_email_headers

粘贴原始邮件内容。此工具会展开邮件头，按时间顺序读取 Received 行 （它们的存储顺序是从最新到最早），计算每一跳的延迟，找出链中的第一个公网 IP，读取身份验证判定，然后给出初步排查分析师会给出的结论：

From        "IT Helpdesk" <[email protected]>
Reply-To    [email protected]
Auth        SPF pass · DKIM pass · DMARC fail
Origin IP   192.0.2.44

Received chain (origin first, 3 hops):
   1. [10.0.0.5] [192.0.2.44] → relay.example-news.com  2026-09-05 13:59:50Z
   2. relay.example-news.com [198.51.100.9] → mx3.corp.example  2026-09-05 14:00:15Z  +25s
   3. mx3.corp.example [203.0.113.30] → inbox.corp.example  2026-09-05 14:00:20Z  +5s

Warnings:
  ! From domain (corp.example) ≠ Return-Path domain (mailer.example-news.com) …
  ! Reply-To goes to a different domain (evil-mail.example) than From (corp.example) — classic BEC pattern.
  ! DMARC verdict: fail.

cvss_score

计算方式遵循 FIRST 规范，包括使用整数运算实现的 Roundup 函数，因此浮点误差不会把 4.0 推高到 4.1。Log4Shell 的向量得分为 10.0；AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 的得分为 9.8。两者都包含在测试套件中。

不会做什么

• 无需账户、注册或密钥。无遥测。
• 不会读取磁盘中的任何内容；所有输入都是你传入的文本。
• 不会验证 JWT 签名——它只负责解码，并会在每条结果中说明这一点。
• 此软件包中只有一次网络调用：lookup_kev 会获取 CISA 的公开目录（约 1.7 MB），并缓存一小时。其他所有操作都不会打开网络套接字。
• 不会查询 VirusTotal、AbuseIPDB 或任何信息增强服务。这些服务需要密钥和账户；此服务用于处理调用这些服务前后的工作。

许可

MIT © Larkwright LLC。由网络、安全和自动化工程师 James Son 编写。其逻辑与免费 Field Kit 桌面应用中的安全工具一致，确保两者保持同步。欢迎提交更正。