AI导哈

威胁情报服务器

mcp-threatintel是一个威胁情报MCP服务器，为Claude Code提供工具查询IOC、搜索威胁源、检查泄露凭证、查询CVE和搜索暗网。

  • by pete-builds
  • Python
  • 本地部署
  • 2 星标
  • 更新于
在 GitHub 查看 pete-builds/mcp-threatintel

使用说明

mcp-threatintel

威胁情报MCP服务器 克劳德代码为Claude提供工具，用于查找IOC、搜索威胁源、检查被破坏的凭据、查询CVE和搜索暗网。

内置于 FastMCP 以及SQLite。提要由后台轮询器在本地同步，因此查找速度很快，不依赖于外部API的可用性。

工具

工具 它做什么
lookup_ioc 根据所有威胁源检查IP、域、哈希或URL
search_threats 在IOC、OTX脉冲和CVE之间进行全文搜索
get_recent_threats 过去N小时内添加了什么
lookup_cve 检查CVE是否在CISA已知漏洞目录中
get_feed_status 显示所有订阅源的同步状态和记录计数
search_pulses 搜索AlienVault OTX社区威胁脉冲
check_breach 通过电子邮件、域名、用户名或哈希检查泄露的凭据
check_domain_breaches 检查域的所有已知违规行为
search_darkweb 搜索Ahmia.fi的Tor隐藏服务索引
check_password_breach 检查密码是否已暴露（HIBP k-匿名，免费，密码永不离开机器）
check_email_breaches 通过HIBP检查电子邮件是否存在任何已知的违规行为
get_latest_breach 从HIBP获取最新添加的漏洞

数据源

来源 它提供了什么 授权 成本
abuse.ch （URLhaus、MalwareBazaar、ThreatFox、Feodo） 恶意软件URL、哈希、C2、僵尸网络IP ABUSECH_API_KEY 免费
AlienVault OTX 社区威胁脉冲，IOC富集 OTX_API_KEY 免费
CISA-KEV 已知漏洞目录 无 免费
阿赫米亚.fi 暗网搜索（.onion索引） 无 免费
HIBP密码 密码泄露检查（k-匿名） 无 免费
HIBP电子邮件 电子邮件违规查找 HIBP_API_KEY 4.5美元/月
泄漏检查 暗网入侵数据（7B+条记录） LEAKCHECK_API_KEY 10美元/月

所有可选密钥都会优雅地降级。服务器在没有它们的情况下运行良好，当工具需要未配置的密钥时，会返回一条明确的错误消息。

建筑

Claude Code
    |
    | Streamable HTTP (port 3707, /mcp)
    v
mcp-threatintel (mcp_threatintel.server)
    |
    |-- SQLite cache (threatintel.db)  <-- populated by poller
    |-- Live API calls (LeakCheck, HIBP, Ahmia)
    v
threatintel-poller (mcp_threatintel.poller)
    |
    |-- abuse.ch feeds (URLhaus, MalwareBazaar, ThreatFox, Feodo)
    |-- AlienVault OTX pulses
    |-- CISA KEV catalog
    (syncs hourly by default)

轮询器作为一个单独的容器运行，并将威胁信息同步到一个共享的SQLite数据库中。MCP服务器从缓存中读取数据以进行快速查找，API实时调用仅用于按需服务（LeakCheck、HIBP、Ahmia）。

设置

1.克隆和配置

git clone https://github.com/pete-builds/mcp-threatintel.git
cd mcp-threatintel
cp .env.example .env

编辑 .env 并添加您的API密钥。仅 ABUSECH_API_KEY 是必需的。其他都是可选的。

2.启动堆栈

docker compose up -d

这将启动两个容器：

  • mcp-threatintel：端口3707上的MCP服务器
  • threatintel-poller：后台馈送同步（每小时运行一次）

轮询器将在首次启动时进行初始同步。在工具有数据之前给它一分钟时间。

3.连接到克劳德代码

使用Claude CLI注册MCP服务器：

claude mcp add threatintel --transport http --scope user --url http://localhost:3707/mcp

或者添加到您的克劳德代码中 settings.json:

{
  "mcpServers": {
    "threatintel": {
      "type": "http",
      "url": "http://localhost:3707/mcp"
    }
  }
}

重新启动克劳德代码。这12个工具将显示为 mcp__threatintel__*.

API密钥

# Required
ABUSECH_API_KEY   # Register free at https://auth.abuse.ch/

# Optional (free)
OTX_API_KEY       # Register free at https://otx.alienvault.com/

# Optional (paid)
HIBP_API_KEY      # $4.50/mo at https://haveibeenpwned.com/API/Key
LEAKCHECK_API_KEY # $10/mo at https://leakcheck.io/

备注

  • docker-compose.yml 用途 network_mode: hostMCP服务器绑定到 0.0.0.0:3707。如果您在服务器（而不仅仅是本地主机）上运行此程序，请添加防火墙规则以限制访问。
  • 可选承载令牌身份验证：set MCP_THREATINTEL_AUTH_TOKEN （生成 openssl rand -hex 32)每个HTTP客户端都必须发送 Authorization: Bearer <token>.Unset=无身份验证（单主机受信任边界默认值）。
  • SQLite数据库存储在一个命名的Docker卷中(threatintel-data).它会在容器重新启动时持续存在。
  • LeakCheck结果会编辑大部分暴露的密码值。仅显示前两个字符和后两个字符。
  • HIBP密码检查使用k匿名：只有SHA-1哈希的前5个字符被发送到API。完整密码永远不会离开机器。

积分

由...建造 皮特·斯特久恩 用于 克劳德代码.

相关： 克劳德研究代理人 --使用此服务器进行安全调查的研究技能。

相关 MCP