网络安全情报服务

为安全工程师、渗透测试人员和AI工作流提供结构化威胁情报的MCP服务器,支持CVE搜索、子域名枚举、DNS和电子邮件安全审计等功能。

  • by apifyforge
  • 云端部署
  • 1 星标
  • 更新于
在 GitHub 查看 apifyforge/cybersecurity-intelligence-mcp

使用说明

网络安全情报MCP服务器

查看ApifyForge | 在Apify商店中使用


快速开始

添加到您的MCP客户端(Claude Desktop、Cursor、Windsurf):

{
  "mcpServers": {
    "cybersecurity-intelligence-mcp": {
      "url": "https://ryanclinton--cybersecurity-intelligence-mcp.apify.actor/mcp"
    }
  }
}

AI代理的网络安全情报——搜索200000多个CVE,检查CISA已知漏洞目录,通过证书透明度枚举子域,审核DNS和电子邮件安全,通过Censys扫描互联网暴露的主机,并调查域名注册——所有这些都通过一个MCP服务器完成。专为需要结构化威胁情报而无需主动扫描的安全工程师、渗透测试人员和人工智能驱动的工作流程而构建。

连接到Claude Desktop、Cursor或任何兼容MCP的客户端一次,您的AI就可以调查CVE暴露,分析域的攻击面,映射子域,并根据需要进行风险评分的安全评估。八个工具封装了六个权威的公共数据源:NIST NVD、CISA KEV、Censys、crt.sh证书透明度日志、DNS/电子邮件安全记录和WHOIS/RDAP注册数据。

⬇️ 你能提取哪些数据?

数据点 来源 示例
📋 CVE ID、描述、CVSS评分 NIST NVD CVE-2021-44228,CVSS 10.0严重
⚔️ 攻击向量和攻击复杂度 NIST NVD NETWORK/LOW
🔍 CWE弱点分类 NIST NVD CWE-502(反序列化)
🚨 主动利用漏洞标志 CISA KEV knownRansomwareCampaign使用:“已知”
🗓️ KEV强制修补到期日 CISA KEV 2022-05-04(联邦机构)
🌐 暴露于互联网的主机和开放端口 Censys 192.0.2.14:3306(暴露于MySQL)
🔒 每个域的SSL/TLS证书历史 crt.sh CT日志 847个证书,134个唯一的子域
📡 A、 AAAA、MX、NS、TXT、CNAME、SOA记录 DNS查找 A.example.com→ 93.184.216.34
🛡️ SPF、DMARC、DKIM电子邮件安全审计 DNS查找 DMARC:p=拒绝,SPF:通过
🏢 域名注册商,注册日期,年龄 WHOIS/RDAP 注册日期2003-01-01,年龄8115天
⏳ 域名到期和到期前天数 WHOIS/RDAP 到期2027-01-01,652天
⚠️ 带有严重性标签的风险指标 领域情报 警报、警告、关键、信息

为什么要使用网络安全情报MCP服务器?

如今的网络安全调查意味着在五到六个浏览器选项卡之间切换:NVD用于CVE查找,CISA的KEV目录用于漏洞利用状态,crt.sh用于证书枚举,WHOIS工具,MX查找工具和Censys用于主机侦察。每次查找都是手动的,复制粘贴量很大,产生的原始数据仍需要解释。单个供应商评估可能需要30-45分钟才能获得可用的图片。

此MCP服务器通过一个统一的接口提供所有六个数据源,您的AI客户端可以将其作为工具调用。询问Claude“哪些漏洞影响Apache,目前正在被利用?”它会查询NVD和CISA KEV,交叉引用结果,并在30秒内显示一个优先级列表。这 cyber_domain_intelligence 该工具并行运行DNS、WHOIS、SSL和KEV检查,并返回带有标记指标的风险评分摘要。

  • 调度 --通过Apify平台cron调度运行定期安全评估,以保持您的威胁情报最新
  • API访问 --触发器从Python、JavaScript或任何带有Apify令牌的HTTP客户端运行
  • 监控 --运行失败或返回意外结果时接收Slack或电子邮件警报
  • 集成 --将结果导入Zapier、Make、Google表格、HubSpot或自定义webhooks
  • 支出控制 --设置每次运行的预算上限,这样AI代理就不会超过您的成本阈值

特性

  • NIST NVD CVE搜索 --按关键字、直接CVE ID、CPE产品字符串、CVSS v3严重性(临界/高/中/低)或发布日期范围查询200000多个已发布的CVE;返回CVSS基本得分、攻击向量、攻击复杂性、所需权限、用户交互和所有CWE弱点ID
  • CISA KEV目录 --搜索在野外被积极利用的CVE的最终列表;按供应商、产品、添加日期和勒索软件活动链接进行筛选;返回联邦补丁到期日期和 knownRansomwareCampaignUse 旗帜
  • Censys互联网主机扫描 --使用结构化搜索表达式查询Censys的IPv4扫描数据,以查找暴露的服务、开放端口和基础设施;支持免费的Censys API凭据(250次查询/月免费层),并返回没有凭据的演示数据
  • 证书透明度枚举 --在crt.sh中搜索曾经颁发给域的所有SSL/TLS证书;在重复数据删除模式(每个唯一子域一行)或完整证书历史模式(每个证书一行)下运行;无需凭据
  • 活动子域计数和新鲜度 --每个子域结果包括 isActive, lastSeen,以及 certificateCount 字段,以便您将实时基础设施与历史工件区分开来
  • DNS记录枚举 --在一次调用中检索多达50个域的A、AAAA、MX、NS、TXT、CNAME和SOA记录
  • 电子邮件安全审计 --通过10个常用选择器(谷歌、默认、选择器1、选择器2、邮件、DKIM、k1、k2、s1、s2)检查SPF记录的存在和策略、DMARC记录和执行策略以及DKIM;报告 hasEmailSecurity 每个域的布尔值
  • WHOIS/RDAP领域情报 --返回注册商、创建日期、到期日期, domainAge 在几天内, expiresIn 以天为单位,显示名称服务器、DNSSEC状态和域状态标志(客户端删除禁止等)
  • 统一领域智能 — cyber_domain_intelligence 同时协调DNS、WHOIS、SSL和可选的KEV/NVD检查 Promise.all,组装结构化的风险配置文件,并根据域年龄阈值、电子邮件安全漏洞、DNSSEC状态、KEV匹配和CVE严重性自动生成标记的风险指标(关键、警告、警报、信息)
  • 风险指示器引擎 --自动将少于30天的域名标记为严重网络钓鱼风险,将30-180天的域名标志为警告,并在KEV与勒索软件计数匹配时发出警报
  • KEV交叉参考的供应商猜测 --域智能工具提取第一个域标签(例如,apache.org中的“apache”),以自动查询CISA KEV是否存在与供应商相关的漏洞
  • 按事件支出控制 --每次工具调用检查 Actor.charge() 具有针对特定活动的预算门;如果达到配置的支出限制,运行将完全停止,而不是继续累计成本
  • 无状态的每请求服务器 --每次POST /mcp 创造新鲜 McpServer + StreamableHTTPServerTransport 配对,确保AI代理请求之间没有会话溢出

网络安全情报用例

漏洞管理和补丁优先级

负责补丁周期的安全工程师向NVD查询影响其软件栈的CVE,然后立即与CISA KEV进行交叉引用,以确定哪些漏洞在野外被积极利用。MCP服务器允许AI代理在一次会话中执行这两个源的交叉引用,返回一个严重性排序列表,其中包含KEV到期日期,这样团队就可以在不手动切换选项卡的情况下对补丁决策进行优先级排序。

攻击面和子域发现

红队和虫子赏金猎人奔跑 cyber_ssl_certificates 和 deduplicate: true 枚举证书透明度日志中观察到的所有子域。与DNS暴力破解不同,这种方法完全是被动的,不需要主动扫描。结果包括 isActive 状态,以便分析师可以立即关注实时子域与历史工件。

网络钓鱼域名和品牌保护调查

威胁情报分析师调查可疑域名 cyber_domain_intelligence 快速获取风险概况:域名年龄(非常新的域名会触发关键标志)、电子邮件欺骗能力(SPF/DMAC差距)、DNSSEC状态和证书历史。将WHOIS年龄与CT日志枚举相结合,可以揭示域名是否使用类似的子域或证书模式模仿合法品牌。

供应商和第三方风险评估

采购和供应商风险团队在入职前通过运行域情报检查来评估供应商的安全状况。该工具报告电子邮件安全配置(安全成熟度的代理)、与供应商技术栈相关的已知漏洞以及域注册稳定性,所有这些都不需要访问供应商的内部系统。

具有安全意识的AI代理工作流程

为IT运营、SOC自动化或威胁搜索构建AI代理的开发团队将此MCP服务器嵌入为网络安全情报层。代理可以自主检查警报中报告的CVE是否在CISA KEV目录中,枚举受影响域的子域,并生成分类摘要,而无需在代理代码中集成任何硬编码的API。

合规性电子邮件安全审计

合规团队在数十个公司所有的域中审核SPF、DMARC和DKIM配置 cyber_dns_lookup 和 check_email_security: true 每次呼叫最多可传递50个域的数组。摘要回复包括 domainsWithEmailSecurity 和 domainsWithoutEmailSecurity 立即报告。

如何连接此MCP服务器

克劳德桌面

将以下内容添加到您的Claude Desktop配置文件中(~/Library/Application Support/Claude/claude_desktop_config.json 在macOS上):

{
  "mcpServers": {
    "cybersecurity-intelligence": {
      "url": "https://cybersecurity-intelligence-mcp.apify.actor/mcp",
      "headers": {
        "Authorization": "Bearer YOUR_APIFY_TOKEN"
      }
    }
  }
}

替换 YOUR_APIFY_TOKEN 使用您的令牌 Apify控制台.

Cursor、Windsurf和其他MCP客户端

使用指向同一端点的相同配置块。任何支持Streamable HTTP传输的客户端都可以连接到 https://cybersecurity-intelligence-mcp.apify.actor/mcp 和 Authorization: Bearer YOUR_APIFY_TOKEN.

程序化(HTTP)

curl -X POST "https://cybersecurity-intelligence-mcp.apify.actor/mcp" \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer YOUR_APIFY_TOKEN" \
  -d '{
    "jsonrpc": "2.0",
    "method": "tools/call",
    "params": {
      "name": "cyber_domain_intelligence",
      "arguments": { "domain": "suspicious-vendor.io", "check_exploited": true }
    },
    "id": 1
  }'

可用的MCP工具

工具 来源 描述
cyber_search_vulnerabilities NIST NVD 按关键字、CVE ID、CPE、严重性、日期范围搜索CVE。返回CVSS分数、攻击向量和CWE。
cyber_exploited_vulnerabilities CISA KEV 已知积极利用具有勒索软件链接和联邦补丁到期日期的CVE。
cyber_search_hosts Censys 按服务、端口、位置或证书主体搜索互联网连接的主机。
cyber_ssl_certificates crt.sh 来自CT日志的域的所有SSL/TLS证书。子域发现或完整证书历史记录。
cyber_dns_lookup 系统DNS A、AAAA、MX、NS、TXT、CNAME、SOA记录+SPF、DMARC、DKIM,最多可用于50个域。
cyber_whois_lookup RDAP/WHOIS 最多50个域名的域名注册、注册商、年龄、到期时间、名称服务器、DNSSEC。
cyber_domain_intelligence 以上所有 具有自动生成风险指标的并行域安全评估。
cyber_list_sources -- 列出此服务器上可用的所有工具和数据源。

刀具输入参数

cyber_search_vulnerabilities

参数 类型 必填 默认 说明
keyword string 否 -- 搜索CVE描述(例如,“log4j”、“远程代码执行”)
cve_id string 否 -- 直接CVE ID查找(例如“CVE-2021-44228”);覆盖关键字
cpe_name string 否 -- CPE产品筛选器(例如,“CPE:2.3:a:apache:log4j”)
severity 枚举 否 -- CVSS v3严重性:严重、高、中、低
date_from string 否 -- 发布开始日期YYYY-MM-DD
date_to string 否 -- 发布结束日期YYYY-MM-DD
exact_match boolean 否 false 精确短语匹配与关键字的任何单词匹配
max_results 整数 否 50 最大结果(1-500);由于NVD速率限制,大值变慢

cyber_exploited_vulnerabilities

参数 类型 必填 默认 说明
query string 否 -- 在CVE ID、供应商、产品、名称、描述中搜索
vendor string 否 -- 供应商名称(例如,“Microsoft”、“Apache”、“Citrix”)
product string 否 -- 产品名称(例如“Exchange Server”、“Log4j”)
date_added_from string 否 -- 在此日期YYYY-MM-DD之后添加到KEV
date_added_to string 否 -- 在此日期YYYY-MM-DD之前添加到KEV
ransomware_only boolean 否 false 仅返回与已知勒索软件活动链接的CVE
max_results 整数 否 50 最大结果(1–1000)

cyber_search_hosts

参数 类型 必填 默认 说明
query string Yes -- Censys搜索表达式(例如,“services.port:3306 AND location.country:US”)
censys_api_id string No - Censys.io中的Censys API ID;如果省略,则返回演示数据
censys_api_secret string No - Censys API机密
max_results 整数 否 25 最大结果(1–100;Censys免费层最大值:100)

cyber_ssl_certificates

参数 类型 必填 默认 说明
domain string 是 -- 要搜索的域(例如,“acmecorp.com”)
include_expired boolean 否 true 包括过期证书
include_subdomains boolean 否 true 使用通配符前缀搜索子域
deduplicate boolean 否 true 每个唯一子域一行(真)或每个证书一行(假)
max_results 整数 否 100 最大结果(1–5000)

cyber_dns_lookup

参数 类型 必填 默认 说明
domains array Yes -- 域数组(1-50),例如[“acmecorp.com”,“subsidiary.io”]
record_types 数组 否 ["A","AAAA","MX","NS","TXT","CNAME","SOA"] 要查询的DNS记录类型
check_email_security boolean 否 true 审核SPF、DMARC和DKIM记录

cyber_whois_lookup — domains (array,必填):要查找的1-50个域的数组。

cyber_domain_intelligence

参数 类型 必填 默认 说明
domain string 是 -- 要调查的域(例如,“可疑站点.xyz”)
check_vulnerabilities boolean 否 false 还要查询NVD以获取提及此域/产品的CVE(增加时间)
check_exploited boolean 否 true 检查CISA KEV是否存在与此域供应商相关的已利用CVE

输出示例

网络搜索脆弱性输出

{
  "total": 3,
  "severityBreakdown": {
    "critical": 2,
    "high": 1,
    "medium": 0,
    "low": 0
  },
  "vulnerabilities": [
    {
      "cveId": "CVE-2021-44228",
      "description": "Apache Log4j2 2.0-beta9 through 2.14.1 JNDI features do not protect against attacker-controlled LDAP and other JNDI related endpoints...",
      "severity": "CRITICAL",
      "cvssScore": 10.0,
      "attackVector": "NETWORK",
      "attackComplexity": "LOW",
      "privilegesRequired": "NONE",
      "userInteraction": "NONE",
      "publishedDate": "2021-12-10",
      "lastModifiedDate": "2023-09-14",
      "cwes": ["CWE-502", "CWE-400", "CWE-20"],
      "references": [
        "https://nvd.nist.gov/vuln/detail/CVE-2021-44228",
        "https://logging.apache.org/log4j/2.x/security.html"
      ]
    }
  ]
}

网络漏洞输出

{
  "total": 2,
  "ransomwareLinked": 1,
  "entries": [
    {
      "cveID": "CVE-2021-44228",
      "vendorProject": "Apache",
      "product": "Log4j",
      "vulnerabilityName": "Apache Log4j2 Remote Code Execution Vulnerability",
      "dateAdded": "2021-12-10",
      "shortDescription": "Apache Log4j2 contains a remote code execution vulnerability...",
      "requiredAction": "Apply updates per vendor instructions.",
      "dueDate": "2021-12-24",
      "knownRansomwareCampaignUse": "Known",
      "notes": "Ransomware campaigns actively exploiting this vulnerability."
    }
  ]
}

网络域智能输出

{
  "domain": "pinnacle-industries.io",
  "riskIndicators": [
    "CRITICAL: Domain is only 12 days old — very new domain, high phishing risk",
    "WARNING: No email security records found (no SPF, DMARC, or DKIM) — domain may be spoofable",
    "INFO: DNSSEC not enabled — domain is not protected against DNS spoofing",
    "ALERT: 3 known exploited vulnerabilities found for this vendor (1 ransomware-linked)"
  ],
  "dns": {
    "aRecords": ["198.51.100.14"],
    "mxRecords": ["mail.pinnacle-industries.io"],
    "spfRecord": null,
    "dmarcRecord": null,
    "dkimFound": false,
    "hasEmailSecurity": false
  },
  "whois": {
    "registrar": "NameCheap, Inc.",
    "createdDate": "2026-03-08",
    "expiryDate": "2027-03-08",
    "domainAge": 12,
    "expiresIn": 353,
    "nameservers": ["ns1.registrar-servers.com", "ns2.registrar-servers.com"],
    "dnssec": false,
    "status": ["clientTransferProhibited"]
  },
  "certificates": {
    "totalSubdomains": 3,
    "activeSubdomains": 3,
    "topSubdomains": [
      { "subdomain": "www.pinnacle-industries.io", "isActive": true, "lastSeen": "2026-03-09", "certificateCount": 1 },
      { "subdomain": "mail.pinnacle-industries.io", "isActive": true, "lastSeen": "2026-03-09", "certificateCount": 1 }
    ]
  },
  "exploitedVulnerabilities": {
    "total": 3,
    "entries": [
      {
        "cveID": "CVE-2023-44487",
        "vendorProject": "IETF",
        "product": "HTTP/2",
        "knownRansomwareCampaignUse": "Known",
        "dueDate": "2023-10-31"
      }
    ]
  }
}

cyber_ssl_证书输出(已消除重复的子域)

{
  "domain": "betaindustries.com",
  "totalSubdomains": 47,
  "activeSubdomains": 31,
  "subdomains": [
    { "subdomain": "www.betaindustries.com", "isActive": true, "lastSeen": "2026-02-14", "certificateCount": 12 },
    { "subdomain": "api.betaindustries.com", "isActive": true, "lastSeen": "2026-01-30", "certificateCount": 4 },
    { "subdomain": "staging.betaindustries.com", "isActive": false, "lastSeen": "2024-08-01", "certificateCount": 2 }
  ]
}

⬆️ 输出字段

网络搜索脆弱性

字段 类型 描述
total integer 返回的CVE数量
severityBreakdown.critical integer 严重CVE的计数
severityBreakdown.high integer 高严重性CVE的计数
vulnerabilities[].cveId string CVE标识符(例如CVE-2021-44228)
vulnerabilities[].severity string 临界、高、中或低
vulnerabilities[].cvssScore 数字 CVSS v3基础分数(0.0–10.0)
vulnerabilities[].attackVector string 网络、邻近、本地或物理
vulnerabilities[].attackComplexity string 低或高
vulnerabilities[].privilegesRequired string 无、低或高
vulnerabilities[].cwes array CWE弱点标识符
vulnerabilities[].publishedDate string NVD发布日期
vulnerabilities[].references array 引用URL

网络域智能

字段 类型 描述
domain string 标准化域(去掉http://、www.和path)
riskIndicators array 标记的风险字符串(关键、警告、警报、信息)
dns.aRecords 阵列 IPv4地址
dns.mxRecords array 邮件交换器记录
dns.spfRecord string或null 完整的SPF TXT记录值
dns.dmarcRecord string或null 完整的DMARC TXT记录值
dns.dkimFound boolean 是否在10个选择器中找到任何DKIM记录
dns.hasEmailSecurity boolean 如果找到SPF、DMARC或DKIM中的任何一个,则为True
whois.domainAge integer 域名年龄(天)
whois.expiresIn integer 域到期前的天数
whois.dnssec boolean 是否启用DNSSEC
certificates.totalSubdomains integer 在CT日志中找到的唯一子域
certificates.activeSubdomains integer 具有活动证书的子域
exploitedVulnerabilities.total integer 猜测供应商的KEV条目(当check_exploited时出现:true)

使用网络安全情报工具要花多少钱?

此MCP服务器使用 按事件付费定价——每次工具调用0.045美元。无论结果大小,每次工具调用都会收取一个事件的费用。包括平台计算成本。

场景 工具调用 每次调用成本 总成本
快速测试(单CVE查找) 1 $0.045 $0.045
领域评估(领域情报) 1 0.045 0.045美元
完整的7工具调查 7 0.045 0.315美元
每日监控(10个域) 10 0.045 0.45美元
每周漏洞扫描(50次CVE搜索) 50 0.045美元 2.25美元

您可以设置 最高支出限额 每次运行以控制成本。当达到预算时,MCP服务器会完全停止,而不是继续累计费用。

Apify的免费套餐包括 每月5美元的平台积分 --相当于每月免费约111次工具调用。与之相比,商业威胁情报平台每月收取500-2000美元的可比数据访问费用。

网络安全情报MCP服务器的工作原理

服务器运行在Apify的 待机模式 --在请求之间保持活动的持久进程。每 POST /mcp 请求实例化一个新的 McpServer 与a配对 StreamableHTTPServerTransport (未生成会话ID),执行该工具,然后两者都在响应时关闭 close 活动。AI代理会话之间没有状态流血。

每个MCP工具通过以下方式委托给一个专门的Apify参与者 runActor() 助手在 actor-client.ts。助手呼叫 client.actor(actorName).call(input, { waitSecs, memory: 256 }) 超时120秒(由于速率限制,NVD和CT日志查询为180秒),然后从以下位置检索项目 defaultDatasetIdFailures返回空数组而不是抛出,因此不可用的上游源会优雅地降级,而不会使整个工具调用失败。

这 cyber_domain_intelligence 工具用途 Promise.all() 同时运行3-5个演员。在所有结果返回后,确定性规则引擎按顺序评估它们:域年龄阈值(<30天=关键,30-180天=警告)、到期迫在眉睫、电子邮件安全漏洞、DNSSEC状态、CT日志覆盖率以及KEV与勒索软件子计数的匹配计数。风险指标附有严重性前缀(关键、警告、警报、信息)。当 check_exploited: true,该工具提取第一个域标签作为供应商名称(例如,“citrix.com”中的“citrix”),并相应地查询CISA KEV——在不影响其他输出的情况下,默默地返回通用名称的零结果。

获得最佳效果的提示

  1. 使用 cyber_domain_intelligence 作为你的第一个工具。 它在一次0.045美元的通话中并行运行DNS、WHOIS、SSL和KEV检查。保留单独的工具以进行后续深入研究(例如,完整的证书历史记录、扩展的CVE搜索)。

  2. 启用 ransomware_only: true 为了确定优先级。 在查询CISA KEV时,过滤到与勒索软件链接的CVE会将数千个条目缩小到您的事件响应团队应视为P1修补义务的子集。

  3. 使用 exact_match: false 为了发现, true 以供确认。 NVD关键字搜索 exact_match: false 查找查询中提到任何单词的CVE,这对于广泛的发现非常有用。切换到 true 当您需要特定产品名称的CVE以避免误报时。

  4. 将数组传递给DNS和WHOIS工具。 两者 cyber_dns_lookup 和 cyber_whois_lookup 每次通话最多可接受50个域名。审计50个公司拥有的域名总共花费0.045美元,与单个域名调用相同。

  5. 使用带有服务过滤器的Censys查询来获得目标结果。 像“location.country:US”这样的广泛查询将很快达到100个无结果级别的限制。使用服务过滤器缩小范围: services.service_name: SSH AND location.country: DE AND services.port: 22 查找特定的暴露基础设施。

  6. 集 deduplicate: false 用于证书取证。 在调查特定事件或域接管时,从默认的去重子域视图切换到完整的证书历史记录会显示每个证书颁发事件、颁发机构和有效性窗口,这对时间线重建很有用。

  7. 集 check_vulnerabilities: true 谨慎。 将NVD搜索添加到 cyber_domain_intelligence 由于NVD速率限制,增加了额外的并行参与者调用和长达180秒的等待时间。当您特别需要CVE提及域名时,请使用它,而不仅仅是供应商链接的KEV条目。

与其他Apify演员组合

演员 如何组合
WHOIS域名查询 直接用于跨大型域名列表进行批量域名年龄检查(每次调用50个);输入域名年龄风险评分
DNS记录查找 在所有公司域中独立运行SPF/DMAC/DKIM审计;将结果导出到Google表格以进行合规性报告
Censys搜索 在供应商安全审查之前,查询特定IP范围或ASN的互联网暴露情况
网站技术堆栈检测器 检测目标域上运行的软件栈,然后将检测到的技术作为CPE名称馈送到 cyber_search_vulnerabilities
网站联系人Scraper 从目标域收集安全联系人电子邮件地址,然后使用此MCP中的WHOIS年龄和DNS数据在外联之前标记高风险域
公司深度研究 生成公司情报档案,然后将公司的域名输入 cyber_domain_intelligence 对于安全层
crt.sh证书搜索 直接运行全卷证书历史搜索(最多5000条记录)以查找大型企业子域映射

局限性

  • 完全被动的数据收集 --没有主动扫描,没有端口探测,没有数据包注入。此服务器无法替代Nmap、Nessus或Burp Suite等工具进行主动渗透测试。
  • NVD速率限制 -NIST NVD API在没有API密钥的情况下每30秒允许大约5个请求。日期范围宽或大 max_results 由于强制延迟,值(200+)将需要几分钟。
  • Censys免费等级配额 --免费的Censys计划允许每月250次查询。如果没有凭据 cyber_search_hosts 工具返回标记为的演示数据 _dryRun 标记而不是实际扫描结果。
  • WHOIS注册人隐私 --GDPR和ICANN隐私服务意味着注册人的姓名、地址和联系电子邮件几乎都会针对现代域名注册进行编辑。域名年龄和注册商数据仍然可用。
  • DKIM选择器覆盖范围 --DNS工具检查10个常见的DKIM选择器。使用自定义或服务特定选择器的组织(例如Mailchimp的 k1,SendGrid的 s1)可能没有检测到所有选择器。这 dkimFound: false 结果并不能保证DKIM不存在。
  • 供应商启发式准确性 --域智能工具根据第一个域标签猜测供应商名称。通用域(例如“cloud.company.com”)将为“云”供应商产生无关的KEV结果。使用 cyber_exploited_vulnerabilities 直接与明确 vendor 用于精确匹配的参数。
  • CT日志覆盖率 --crt.sh索引主要的证书透明度日志,但不是所有日志。使用crt.sh未索引的日志证书保护的子域将不会出现。
  • 没有历史DNS数据 --DNS查找仅返回当前实时记录。对于历史DNS更改跟踪,请结合 网站更改监视器.

集成

  • 扎皮尔 --在采购系统中添加新供应商时触发域智能检查,并将风险指标发布到Slack
  • 制造 --构建自动化的CVE分流工作流,每天查询CISA KEV,并为新添加的漏洞创建Jira票证
  • 谷歌表格 --将域名组合的DNS和电子邮件安全审计结果导出到合规性跟踪电子表格中
  • Apify API --从Python或JavaScript CI/CD管道以编程方式调用工具端点进行部署前安全检查
  • 网络钩子 --当计划的漏洞扫描返回新的关键或警报风险指标时接收警报
  • LangChain/LlamaIdex --将此MCP服务器作为网络安全情报工具层嵌入到LLM驱动的SOC自动化或威胁搜索代理中

❓ 常见问题

一次通话中可以搜索多少个CVE? 每次通话最多可获得500个结果 max_results 参数。对于宽日期范围的扫描,NVD速率限制意味着大型结果集可能需要2-5分钟。对于大多数补丁优先级工作流程,50-100个带有严重性过滤器的结果就足够了。

网络安全情报MCP是否执行主动扫描或向目标基础设施发送数据包? 不是。所有数据都是从公共来源被动收集的:NVD CVE数据库、CISA KEV目录、Censys扫描数据(由Censys预先收集,不是由您的查询触发的)、crt.sh证书透明度日志、标准DNS解析和WHOIS/RDAP端点。不会向目标系统发送探测。

使用此工具进行域名侦察合法吗? 是的,所有使用的数据源都是公开的。NVD、CISA KEV和crt.sh是政府或公共利益数据库。DNS解析和WHOIS查找是标准的互联网基础设施查询。Censys运行独立的互联网扫描,并提供该数据的搜索API。有关网络抓取和数据收集合法性的指导,请参阅 Apify指南.

CVE数据有多新鲜? NVD数据在查询时实时获取,因此结果反映了最新发布的CVE,没有缓存延迟。CISA KEV同样是现场拍摄的。Censys的扫描数据反映了他们最近连续运行的互联网范围扫描。

我可以检查特定的CVE是否正在被积极利用吗? 对。呼叫 cyber_exploited_vulnerabilities 和 query: "CVE-2024-XXXXX" --或提供CVE ID作为 query 参数。如果CVE在CISA KEV目录中,它将返回 dueDate 联邦补丁截止日期和 knownRansomwareCampaignUse 旗帜。

这与Shodan或其他商业威胁情报平台有何不同? Shodan、GreyNoise和Recorded Future是订阅服务,每月收费49-2000美元。此MCP服务器提供可比的被动侦察能力——CVE数据、互联网主机暴露(通过Censys)、证书枚举、DNS和WHOIS——每次工具调用0.045美元,无需订阅承诺。Apify的免费套餐每月免费提供前111次通话。

我可以将此MCP服务器与任何AI客户端一起使用吗,而不仅仅是Claude? 对。服务器实现了模型上下文协议规范中的流式HTTP传输。它与任何MCP客户端兼容:Claude Desktop、Cursor、Windsurf、Continue.dev和任何使用 @modelcontextprotocol/sdk.连接到 https://cybersecurity-intelligence-mcp.apify.actor/mcp 将您的Apify令牌作为Bearer标头。

如果数据源暂时不可用,会发生什么? 单个参与者失败返回空数组,而不是抛出异常。这 cyber_domain_intelligence 该工具与并行运行其源代码 Promise.all() --如果一个源(如Censys)发生故障,其他组件(DNS、WHOIS、CT日志)仍会返回,风险指标将根据可用数据生成。回应将是部分的,而不是缺席的。

我可以一次扫描多个域名吗? cyber_dns_lookup 和 cyber_whois_lookup 每次呼叫最多接受50个域的数组。 cyber_domain_intelligence 为每次调用一个域而设计,因为它每个域并行运行3-5个参与者——对于批量域评估,在循环中调用它或使用单独的DNS和WHOIS工具进行批处理。

风险指标引擎有多准确? 风险指标规则具有确定性和保守性:域年龄阈值、电子邮件安全存在/不存在、DNSSEC状态、KEV匹配计数。它们旨在产生可操作的信号,而不是概率风险评分。预计会出现误报(例如,标记为高钓鱼风险的合法新域名)——将“关键”和“警告”标记视为调查的起点,而不是最终判决。

我可以安排此MCP服务器运行定期安全评估吗? MCP服务器在Apify Standby模式下运行,以供交互使用。对于定时评估,通过Apify平台在cron计划上直接使用底层Apify参与者(NVD CVE搜索、CISA KEV搜索、DNS记录查找),或从定时作业以编程方式调用MCP端点。

帮助我们改进

如果您遇到问题,可以通过在Apify帐户中启用运行共享来帮助我们更快地进行调试:

  1. 首选 帐户设置>隐私
  2. 启用 与公共Actor创建者共享跑步记录

这使我们可以在出现问题时查看您的跑步详细信息,以便我们更快地解决问题。您的数据仅对演员开发人员可见,不公开。

故障排除

  • cyber_search_vulnerabilities 尽管关键字有效,但不返回任何结果 --NVD关键字搜索对CPE名称区分大小写,但对一般关键字不区分大小写。如果查询产品名称,请尝试变体:“log4j”、“log4j2”、“log4shell”。也试试 exact_match: false 将搜索范围扩大到任何单词匹配。

  • cyber_search_hosts 返回标记为的演示数据 _dryRun --未提供Censys凭据。在获取免费API ID和机密 Cenys.io 并将其作为 censys_api_id 和 censys_api_secret 在工具调用中。免费套餐每月提供250次查询。

  • cyber_domain_intelligence 风险指标提到供应商KEV与无关供应商的匹配 --根据第一个域标签猜测供应商。对于像“cloud.mycompany.com”这样的域,该工具会向CISA KEV查询供应商“cloud”,这将返回基础设施层结果。呼叫 cyber_exploited_vulnerabilities 直接与明确 vendor 参数以获得准确的结果。

  • DNS查找返回某些记录类型的空记录 --并非所有域都配置了所有记录类型。AAAA记录需要IPv6地址;CNAME记录仅存在于非顶点子域;SOA记录可能会被一些权威服务器阻止。记录类型的空数组表示该记录不存在,而不是查找失败。

  • 漏洞搜索的运行时间超过3分钟 --NVD强制执行每30秒约5个请求的速率限制。A. max_results 在宽日期范围内为500可能需要10+个顺序NVD API页面,每个页面都受到速率限制。减少 max_results 或者将日期范围缩小到2分钟以内。

支持

发现错误或有功能请求?在这个演员的页面上打开一个问题。对于定制解决方案或企业集成,请通过Apify平台联系。