Abnormal MCP Server

Abnormal MCP Server

一款面向 Abnormal Security 的安全、开源 Model Context Protocol 服务。

本项目并非 Abnormal 的官方产品，也未获 Abnormal AI 背书。

概览

abnormal-mcp 允许 Cursor 和 Claude Desktop 等 MCP 客户端通过 stdio（默认）或 Streamable HTTP 查询 Abnormal Security。它使用轻量级手写客户端调用 Abnormal Security Client API。

MCP Client
    → Abnormal MCP Server (stdio or HTTP)
        → Abnormal REST API

该服务默认只读。响应和证据下载工具均为可选启用，彼此独立。Abnormal 的授权规则仍适用于每个请求。

功能

读取（始终启用）

• 从 Threat Log 获取威胁列表和详情
• 威胁链接和附件元数据
• 威胁操作状态轮询（abnormal_threat_action_get）
• 使用便捷筛选条件搜索邮件（since、sender、sender_domain、recipient、subject、url、attachment、sender_ip、judgement）
• 搜索活动列表和状态
• 邮件修复历史
• AI Security Mailbox（前称 Abuse Mailbox）活动和未分析报告
• 员工资料、身份信息（Genome）和近期登录记录
• ATO 案件列表、详情和分析
• 供应商列表、详情、活动和供应商失陷案件
• Detection 360 报告列表（误报和漏报攻击）
• 美国、欧盟和 FedRAMP 基础 URL（可配置）

响应（可选启用：ABNORMAL_ALLOW_RESPONSE=true）

• 搜索修复（delete、move_to_inbox），带有 confirm: true 预览门控
• 威胁修复／取消修复，带有 confirm: true 预览门控
• 更新 ATO 案件状态，带有 confirm: true 预览门控
• 提交 Detection 360 报告（误报、漏报攻击／垃圾邮件／灰色邮件），带有 confirm: true 预览门控

证据下载（可选启用：ABNORMAL_ALLOW_EVIDENCE_DOWNLOAD=true）

• 下载邮件 EML（按 ABX 邮件 ID 或搜索 cloud_message_id）

• 附件分析信号和附件下载

• 默认提供元数据和限量预览；可选嵌入 base64（工具输出最大 1 MiB）

• stdio 传输（默认）和可选启用的 Streamable HTTP

• 原生 Go 二进制文件和 Docker 镜像

• 在带标签的发行版本中列入 MCP Registry（io.github.GregDog/mcp-server-abnormal）

快速开始

在 Abnormal 门户的 Integrations → Abnormal REST API 下创建 Abnormal REST API 令牌。

export ABNORMAL_API_TOKEN="your-token"
abnormal-mcp serve

安装

从源代码安装

git clone https://github.com/GregDog/mcp-server-abnormal.git
cd mcp-server-abnormal
make build

Docker

docker run --rm -i \
  -e ABNORMAL_API_TOKEN \
  ghcr.io/gregdog/mcp-server-abnormal serve

客户端配置

Cursor（stdio）

请参阅 examples/cursor.mcp.json。

Claude Desktop

请参阅 examples/claude-desktop.json。

工具

27 个读取工具始终处于注册状态。设置 ABNORMAL_ALLOW_EVIDENCE_DOWNLOAD=true 后，将添加五个证据工具（共 32 个）。设置 ABNORMAL_ALLOW_RESPONSE=true 后，将添加四个响应工具（共 31 个；两个开关均启用时共 36 个）。

区域	工具
威胁	abnormal_threats_list、abnormal_threat_get、abnormal_threat_action_get、abnormal_threat_links_list、abnormal_threat_attachments_list
搜索	abnormal_search_messages、abnormal_search_activities_list、abnormal_search_activity_get
消息	abnormal_message_remediation_history
邮箱	abnormal_mailbox_campaigns_list、abnormal_mailbox_campaign_get、abnormal_mailbox_unanalyzed_list
员工	abnormal_employee_get、abnormal_employee_identity_get、abnormal_employee_logins_list
ATO 案例	abnormal_cases_list、abnormal_case_get、abnormal_case_analysis_get、abnormal_case_action_get
供应商	abnormal_vendors_list、abnormal_vendor_get、abnormal_vendor_activity_list、abnormal_vendor_cases_list、abnormal_vendor_case_get
Detection 360	abnormal_detection360_reports_list
URL 重写	abnormal_url_rewrite_clicks_list
审计日志	abnormal_audit_logs_list
证据（需选择启用）	abnormal_message_eml_get、abnormal_search_message_eml_get、abnormal_message_attachment_get、abnormal_message_attachment_download、abnormal_search_attachment_download
响应（需选择启用）	abnormal_search_remediate、abnormal_threat_remediate、abnormal_case_update、abnormal_detection360_report_submit

参数详见 docs/tools.md。

配置

变量	默认值	用途
ABNORMAL_API_TOKEN	（必填）	Bearer 令牌
ABNORMAL_BASE_URL	https://api.abnormalplatform.com/v1	API 基础 URL
ABNORMAL_ALLOW_RESPONSE	false	启用响应工具（Phase 2+）
ABNORMAL_ALLOW_EVIDENCE_DOWNLOAD	false	启用证据下载（Phase 5+）
ABNORMAL_MCP_TRANSPORT	stdio	stdio 或 http

完整列表：docs/configuration.md。

安全

读取工具始终处于启用状态。响应工具和证据工具需要明确选择启用。

**仅限本地使用：**此服务没有内置身份验证或 RBAC。请使用 stdio（默认）或同一台机器上的回环 HTTP。若没有自行设置访问控制，请勿将 HTTP 端点暴露到网络中。

请参阅 docs/security.md 和 SECURITY.md。

开发

make check
make test-access    # optional live API smoke test
make test-phase34   # Phase 3/4 live smoke test
make test-phase5    # Phase 5 evidence smoke test (requires ABNORMAL_ALLOW_EVIDENCE_DOWNLOAD)

请参阅 docs/development.md。

许可证

Apache-2.0。请参阅 LICENSE。