ADEO CTI MCP Server

ADEO CTI MCP 服务

由 ADEO Cybersecurity Services 开发

一个 Model Context Protocol (MCP) 服务，提供对 Shodan 和 VirusTotal API 的访问，用于全面的安全分析和威胁情报。该服务由 ADEO Cybersecurity Services 开发和维护，使网络安全分析师能够通过一系列工具和提示词模板执行网络情报操作，包括主机信息查询、DNS 操作、漏洞分析、网络扫描和告警管理。

关于 ADEO Cybersecurity Services

ADEO Cybersecurity Services 专注于为网络安全专业人员提供先进的安全解决方案和工具。该 ADEO CTI MCP 服务是我们通过创新工具以及与业界领先安全数据源的集成来增强网络安全能力这一承诺的一部分。

功能

Shodan 能力

• IP 地址的详细信息，包括开放端口、服务和位置数据
• DNS 查询和反向 DNS 操作
• 域名信息检索，包括子域名
• 支持分面和过滤器的高级搜索能力
• 按需网络扫描
• 网络告警和监控
• 漏洞分析和 CVE 跟踪
• 账户和 API 管理
• 历史数据访问

VirusTotal 集成

• 恶意软件分析和检测
• URL 扫描和信誉检查
• IP 地址信誉分析
• 域名威胁情报
• 文件哈希分析
• 全面的威胁报告

组合分析功能

• 使用两个平台进行统一安全分析
• 关联威胁情报
• 集成漏洞评估
• 跨平台数据丰富

增强功能

• 丰富的数据格式化和呈现
• 智能工作流自动化
• 预置分析模板
• 自定义搜索过滤器
• 批处理能力
• 实时监控

工具

Shodan 工具

主机信息

1. host-info
   • 从 Shodan 获取主机的详细信息
   • 参数：
     • ip（必填）：要查询的 IP 地址
     • history（可选）：包含历史信息
     • minify（可选）：仅返回基本主机信息
   • 示例：

     @shodan host-info ip="8.8.8.8" history=true
     

DNS 操作

2. dns-lookup

   • 将主机名解析为 IP 地址
   • 参数：
     • hostnames（必填）：要解析的主机名列表，以逗号分隔
   • 示例：

     @shodan dns-lookup hostnames="google.com,facebook.com"
     

3. reverse-dns

   • 查询 IP 地址对应的主机名
   • 参数：
     • ips（必填）：IP 地址列表，以逗号分隔
   • 示例：

     @shodan reverse-dns ips="8.8.8.8,1.1.1.1"
     

4. domain-info

   • 获取域名的 DNS 记录和子域名
   • 参数：
     • domain（必填）：要查询的域名
   • 示例：

     @shodan domain-info domain="example.com"
     

搜索操作

5. search-host

   • 在 Shodan 中搜索符合特定条件的主机
   • 参数：
     • query（必填）：Shodan 搜索查询
     • facets（可选）：用于汇总信息的属性列表，以逗号分隔
     • page（可选）：结果的页码
   • 示例：

     @shodan search-host query="apache country:DE" facets="org,port"
     

6. search-host-count

   • 获取匹配结果的数量，而不返回完整详情
   • 参数：
     • query（必填）：Shodan 搜索查询
     • facets（可选）：分面列表，以逗号分隔
   • 示例：

     @shodan search-host-count query="product:nginx"
     

搜索工具

7. list-search-facets

   • 列出所有可用的搜索分面
   • 无需参数

8. list-search-filters

   • 列出搜索时可用的所有过滤器
   • 无需参数

9. search-tokens

   • 分析并拆解搜索查询的组成部分
   • 参数：
     • query（必填）：要分析的 Shodan 搜索查询
   • 示例：

     @shodan search-tokens query="apache port:80 country:DE"
     

网络信息

10. list-ports

    • 列出 Shodan 正在主动扫描的所有端口
    • 无需参数

11. list-protocols

    • 列出可用于扫描的所有协议
    • 无需参数

扫描操作

12. request-scan

    • 请求 Shodan 扫描特定目标
    • 参数：
      • ips（必填）：以 CIDR 表示法表示的 IP 或网络列表，用逗号分隔
    • 示例：

      @shodan request-scan ips="192.168.1.0/24"
      

13. get-scan-status

    • 查看已提交扫描的状态
    • 参数：
      • id（必填）：唯一的扫描 ID
    • 示例：

      @shodan get-scan-status id="SCAN_ID"
      

14. list-scans

    • 查看你提交的所有扫描
    • 无需参数

告警管理

15. list-triggers

    • 列出可用的网络告警触发器
    • 无需参数

16. create-alert

    • 设置网络监控告警
    • 参数：
      • name（必填）：告警名称
      • filters（必填）：告警过滤器
      • expires（可选）：过期时间（秒）
    • 示例：

      @shodan create-alert name="My Alert" filters={"ip":["8.8.8.8"],"port":[80,443]}
      

17. get-alert-info

    • 获取特定告警的详细信息
    • 参数：
      • id（必填）：告警 ID
    • 示例：

      @shodan get-alert-info id="ALERT_ID"
      

18. delete-alert

    • 删除现有告警
    • 参数：
      • id（必填）：要删除的告警 ID

19. edit-alert

    • 修改现有告警
    • 参数：
      • id（必填）：告警 ID
      • name（可选）：新的告警名称
      • filters（可选）：更新后的过滤器

20. list-alerts

    • 查看所有活动告警
    • 无需参数

查询管理

21. list-queries

    • 查看已保存的搜索查询
    • 参数：
      • page（可选）：结果页码
      • sort（可选）：按 "votes" 或 "timestamp" 排序
      • order（可选）："asc" 或 "desc"

22. search-queries

    • 在已保存的查询中搜索
    • 参数：
      • query（必填）：搜索词
      • page（可选）：页码

23. list-query-tags

    • 查看热门查询标签
    • 参数：
      • size（可选）：返回的标签数量

账户管理

24. get-profile

    • 查看账户信息
    • 无需参数

25. get-api-info

    • 查看 API 订阅状态
    • 无需参数

26. get-billing

    • 查看账单信息
    • 无需参数

27. get-http-headers

    • 查看你的请求头
    • 无需参数

28. get-my-ip

    • 查看你当前的 IP 地址
    • 无需参数

漏洞分析

29. cve-lookup

    • 获取 CVE 详情
    • 参数：
      • cve（必填）：CVE ID（例如 CVE-2021-44228）
    • 示例：

      @shodan cve-lookup cve="CVE-2021-44228"
      

30. cpe-vuln-search

    • 按 CPE 搜索漏洞
    • 参数：
      • cpe（必填）：CPE 2.3 字符串
      • minCvss（可选）：最低 CVSS 评分
      • maxResults（可选）：结果数量限制
    • 示例：

      @shodan cpe-vuln-search cpe="cpe:2.3:a:apache:log4j:2.14.1:*:*:*:*:*:*:*" minCvss=7.0
      

VirusTotal 工具

URL 分析

1. virustotal-url-analysis
   • 分析 URL 的安全威胁
   • 参数：
     • url（必填）：目标 URL
   • 示例：

     @shodan virustotal-url-analysis url="https://example.com"
     

文件分析

2. virustotal-file-analysis
   • 检查文件哈希是否包含恶意软件
   • 参数：
     • hash（必填）：MD5/SHA-1/SHA-256 哈希
   • 示例：

     @shodan virustotal-file-analysis hash="a94a8fe5ccb19ba61c4c0873d391e987982fbbd3"
     

IP 分析

3. virustotal-ip-analysis
   • 检查 IP 信誉
   • 参数：
     • ip（必填）：目标 IP 地址
   • 示例：

     @shodan virustotal-ip-analysis ip="8.8.8.8"
     

域名分析

4. virustotal-domain-analysis
   • 分析域名信誉
   • 参数：
     • domain（必填）：目标域名
   • 示例：

     @shodan virustotal-domain-analysis domain="example.com"
     

MCP 服务提示词

该服务提供一组智能提示词，用于全面的网络安全分析工作流：

资产发现

• 名称：asset-discovery
• 描述：发现并分析面向互联网的资产和基础设施
• 参数：
  • target（必填）：要分析的域名、IP 地址或组织名称
  • depth（可选）：侦察深度（"basic" 或 "comprehensive"）
• 示例：

  @shodan asset-discovery target=example.com depth=comprehensive
  

漏洞评估

• 名称：vulnerability-assessment
• 描述：查找互联网连接系统中的漏洞
• 参数：
  • target_type（必填）：要分析的目标类型（"host"、"domain"、"cpe"、"cve"）
  • target（必填）：目标标识符（IP、域名、CPE 字符串或 CVE ID）
  • severity_threshold（可选）：最低严重性阈值（"all"、"medium"、"high"、"critical"）
  • include_vt_analysis（可选）：包含 VirusTotal 安全分析（"yes" 或 "no"）
• 示例：

  @shodan vulnerability-assessment target_type=host target=192.168.1.1 severity_threshold=high
  

互联网搜索

• 名称：internet-search
• 描述：搜索特定的互联网连接系统或服务
• 参数：
  • search_type（必填）：搜索类型（"service"、"product"、"vulnerability"、"organization"、"custom"）
  • query（必填）：搜索词或 Shodan 查询字符串
  • filters（可选）：要应用的其他 Shodan 过滤器
• 示例：

  @shodan internet-search search_type=product query="nginx" filters="country:US port:443"
  

网络监控

• 名称：network-monitoring
• 描述：设置网络监控和警报
• 参数：
  • target（必填）：要监控的 IP、网络范围或域名
  • monitor_type（必填）：要监控的变更类型（"new-service"、"vulnerability"、"certificate"、"custom"）
  • notification_threshold（可选）：通知的最低严重性（"all"、"high"、"critical"）
• 示例：

  @shodan network-monitoring target=192.168.0.0/24 monitor_type=vulnerability notification_threshold=high
  

ICS 分析

• 名称：ics-analysis
• 描述：分析暴露的工业控制系统和 SCADA 设备
• 参数：
  • target_type（必填）：要分析的目标类型（"ip"、"network"、"product"、"country"）
  • target（必填）：目标标识符（IP、网络范围、产品名称或国家/地区代码）
  • protocol（可选）：要重点关注的特定协议
• 示例：

  @shodan ics-analysis target_type=country target=US protocol=modbus
  

DNS 情报

• 名称：dns-intelligence
• 描述：分析域名和 IP 地址的 DNS 信息
• 参数：
  • target_type（必填）：要分析的目标类型（"domain"、"ip"、"hostname"）
  • target（必填）：要分析的域名、IP 地址或主机名
  • include_history（可选）：包含历史信息（"yes" 或 "no"）
  • include_vt_analysis（可选）：包含 VirusTotal 安全分析（"yes" 或 "no"）
• 示例：

  @shodan dns-intelligence target_type=domain target=example.com include_vt_analysis=yes
  

服务暴露分析

• 名称：service-exposure
• 描述：分析暴露在互联网上的特定服务类型
• 参数：
  • service_type（必填）：服务类型（"database"、"webcam"、"industrial"、"remote-access"、"custom"）
  • target_scope（必填）：分析范围（"global"、"country"、"organization"、"ip-range"）
  • target（可选）：基于范围的目标值
  • custom_query（可选）：用于 "custom" 服务类型的自定义查询
  • include_vt_analysis（可选）：是否包含 VirusTotal 分析（"yes" 或 "no"）
• 示例：

  @shodan service-exposure service_type=database target_scope=country target=US
  

账户状态

• 名称：account-status
• 描述：分析账户信息和 API 使用状态
• 参数：
  • info_type（必填）：要获取的信息类型（"profile"、"api"、"usage"、"all"）
• 示例：

  @shodan account-status info_type=all
  

扫描管理

• 名称：scan-management
• 描述：管理和分析按需网络扫描
• 参数：
  • action（必填）：要执行的扫描操作（"initiate"、"check"、"list"）
  • target（可选）：要扫描的目标 IP 或网络（逗号分隔）
  • scan_id（可选）：用于检查状态的扫描 ID
• 示例：

  @shodan scan-management action=initiate target=192.168.1.0/24
  

搜索分析

• 名称：search-analytics
• 描述：分析 Shodan 搜索能力和模式
• 参数：
  • action（必填）：分析类型（"analyze-query"、"explore-facets"、"examine-filters"、"saved-queries"）
  • query（可选）：要分析的查询（用于 analyze-query 操作）
• 示例：

  @shodan search-analytics action=analyze-query query="apache country:DE port:443"
  

漏洞狩猎

• 名称：vulnerability-hunting
• 描述：在互联网上狩猎特定漏洞
• 参数：
  • vuln_type（必填）：要狩猎的漏洞类型（"cve"、"product"、"service"、"custom"）
  • target（必填）：漏洞目标（CVE ID、产品名称、服务类型）
  • scope（可选）：搜索范围（"global"、"regional"、"industry"）
  • scope_value（可选）：范围的值（国家、行业）
• 示例：

  @shodan vulnerability-hunting vuln_type=cve target=CVE-2021-44228 scope=regional scope_value=US
  

恶意软件分析

• 名称：malware-analysis
• 描述：分析文件和 URL 中的恶意软件和安全威胁
• 参数：
  • target_type（必填）：要分析的目标类型（"file" 或 "url"）
  • target（必填）：要分析的文件哈希（MD5/SHA1/SHA256）或 URL
  • include_relationships（可选）：是否包含关系数据（"yes" 或 "no"）
• 示例：

  @shodan malware-analysis target_type=file target=a94a8fe5ccb19ba61c4c0873d391e987982fbbd3
  

基础设施分析

• 名称：infrastructure-analysis
• 描述：使用 Shodan 和 VirusTotal 的组合数据来分析网络基础设施
• 参数：
  • target_type（必填）：要分析的目标类型（"ip" 或 "domain"）
  • target（必填）：要分析的 IP 地址或域名
  • depth（可选）：分析深度（"basic" 或 "comprehensive"）
  • include_vt_analysis（可选）：是否包含 VirusTotal 分析（"yes" 或 "no"）
• 示例：

  @shodan infrastructure-analysis target_type=domain target=example.com depth=comprehensive
  

威胁狩猎

• 名称：threat-hunting
• 描述：使用组合情报在多个数据源中狩猎威胁
• 参数：
  • indicator_type（必填）：指标类型（"ip"、"domain"、"url"、"file"）
  • indicator（必填）：要调查的指标值
  • include_vt_analysis（可选）：是否包含 VirusTotal 分析（"yes" 或 "no"）
• 示例：

  @shodan threat-hunting indicator_type=ip indicator=8.8.8.8 include_vt_analysis=yes
  

环境设置

1. 设置所需的环境变量：

   SHODAN_API_KEY=your_shodan_api_key
   VIRUSTOTAL_API_KEY=your_virustotal_api_key
   

2. 安装依赖项：

   npm install
   

3. 构建项目：

   npm run build
   

4. 启动服务：

   npm start
   

API 速率限制

• 根据您的订阅遵守 Shodan API 限制
• VirusTotal API 有单独的速率限制
• 尽可能使用批量操作
• 在请求之间实施适当的延迟

错误处理

服务处理各种错误场景：

• 无效的 API 密钥
• 速率限制
• 网络问题
• 无效参数
• 缺少权限

贡献

1. Fork 仓库
2. 创建功能分支
3. 提交拉取请求

License

Copyright © 2024 ADEO Cybersecurity Services. All rights reserved.