SecOps Field Notes

secops-field-notes-mcp

将安全分析师每个班次要手动做十几次的工作，变成编码 Agent 可以调用的工具：评估 CVE，提取报告中的指标并对其去武器化以便写入工单，正确读取钓鱼邮件的标头，识别哈希类型，解码 JWT，将时间戳转换为人类可读的形式，剥开 base64 编码的十六进制载荷，并检查某个 CVE 是否列入 CISA 的已遭在野利用清单。

免费、采用 MIT 许可证、无需账户、不收集遥测数据。除 KEV 查询外，所有操作都完全在你的机器上运行。

安装

固定版本。

Claude Code

claude mcp add secops-field-notes -- npx -y github:labaccessnow/secops-field-notes-mcp#v0.1.0

Claude Desktop、Cursor 或任何使用 JSON 配置的客户端

{
  "mcpServers": {
    "secops-field-notes": {
      "command": "npx",
      "args": ["-y", "github:labaccessnow/secops-field-notes-mcp#v0.1.0"]
    }
  }
}

Docker

{
  "mcpServers": {
    "secops-field-notes": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "ghcr.io/labaccessnow/secops-field-notes-mcp:0.1.0"]
    }
  }
}

使用 npx 方式需要 Node 18 或更高版本。也已列入官方 MCP 注册表，名称为 io.github.labaccessnow/secops-field-notes-mcp。

工具

工具	功能	网络
cvss_score	根据向量或八项指标计算 CVSS 3.1 基础分，计算方式与 FIRST 完全一致	无
extract_iocs	从文本中提取所有 IP、域名、URL、电子邮件地址、CVE ID 和哈希——输入时还原为原始形式，输出时去武器化	无
defang_text	在 hxxp[://]、[.]、[at] 与原始形式之间转换	无
analyze_email_headers	按顺序列出 Received 链及各跳延迟、源 IP、SPF/DKIM/DMARC 结果，以及钓鱼邮件分流时要查找的不匹配项	无
identify_hash	按格式识别 bcrypt、Argon2、yescrypt、Unix crypt、LM:NT、MD5/NTLM、SHA-1/224/256/384/512，并说明其含义	无
decode_jwt	显示标头、载荷和日期格式的时间；标记 alg:none、过期情况以及永不过期的令牌	无
convert_timestamp	将 Epoch 秒/毫秒/微秒、Windows FILETIME、ISO 8601、RFC 2822 转换为所有格式	无
decode_layers	连续解码 base64 / hex / URL / HTML 实体 / ROT13，并查看每一层	无
lookup_kev	查询该 CVE 是否已在野利用——CISA KEV 收录日期、截止日期、是否用于勒索软件及所需操作	CISA 源，缓存 1 小时
latest_field_note	本周发生了哪些利用事件	RSS

analyze_email_headers

粘贴原始邮件内容。它会展开标头，按时间顺序读取 Received 行（这些行按从新到旧的顺序存储），计算每一跳的延迟，查找链中的第一个公共 IP，读取身份验证结果，然后给出分流分析师会做出的判断：

From        "IT Helpdesk" <[email protected]>
Reply-To    [email protected]
Auth        SPF pass · DKIM pass · DMARC fail
Origin IP   192.0.2.44

Received chain (origin first, 3 hops):
   1. [10.0.0.5] [192.0.2.44] → relay.example-news.com  2026-09-05 13:59:50Z
   2. relay.example-news.com [198.51.100.9] → mx3.corp.example  2026-09-05 14:00:15Z  +25s
   3. mx3.corp.example [203.0.113.30] → inbox.corp.example  2026-09-05 14:00:20Z  +5s

Warnings:
  ! From domain (corp.example) ≠ Return-Path domain (mailer.example-news.com) …
  ! Reply-To goes to a different domain (evil-mail.example) than From (corp.example) — classic BEC pattern.
  ! DMARC verdict: fail.

cvss_score

计算方式遵循 FIRST 规范，包括使用整数运算实现的 Roundup 函数，因此浮点误差不会把 4.0 推高到 4.1。Log4Shell 的向量得分为 10.0；AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 的得分为 9.8。两者均包含在测试套件中。

它不会做什么

• 无需账户、注册或密钥，不收集遥测数据。
• 不会读取磁盘上的任何内容；所有输入都是你传入的文本。
• 不验证 JWT 签名——它只负责解码，并会在每个结果中明确说明这一点。
• 软件包中只有一次网络调用：lookup_kev 会获取 CISA 的公开目录（约 1.7 MB），并缓存一小时。其他操作都不会建立网络连接。
• 不会查询 VirusTotal、AbuseIPDB 或任何威胁情报丰富化服务。这些服务需要密钥和账户；此服务用于你使用它们前后的工作。

许可证

MIT。由 James Son 编写，他是一名网络、安全与自动化工程师。其逻辑与免费 Field Kit 桌面应用中的安全工具相同，因此两者保持同步。欢迎提出更正。