威胁情报查询服务

cd /opt/cti-mcp-server # 若是本地，切换到项目根目录
pip install -e .

copy .env.example .env
# 编辑 .env，填入 API Key（没有 Key 的数据源自动禁用，不影响其他功能）

# IOC 查询（可选，无 Key 时 VT/OTX 数据源不可用）
VIRUSTOTAL_API_KEY=your_vt_key_here
OTX_API_KEY=your_otx_key_here

# HTTP 模式安全（可选，空表示无认证）
MCP_AUTH_TOKEN=your_token_here
MCP_HTTP_HOST=127.0.0.1

# 速率限制（默认值）
VT_RATE_LIMIT=4     # VT 免费版 4次/分钟
OTX_RATE_LIMIT=60

python -m src.server

python -m src.server --transport=http
# 监听 127.0.0.1:8000（默认）

fastmcp dev src/server.py
# 浏览器打开 http://localhost:5173

curl -sSL https://raw.githubusercontent.com/SecureAI-Team/cti-mcp-server/main/scripts/deploy_ubuntu.sh | sudo bash

# 1. 确认 .env 中的 MCP_AUTH_TOKEN 已设置
# 2. 确认 nginx/nginx.conf 中的 map 块已填入相同的 Token
# 3. 启动生产级集群
docker-compose -f docker-compose.prod.yml up -d --build

import httpx

# 示例：通过 HTTP 直接调用
headers = {"Authorization": "Bearer your-secret-mcp-token"}
# ... 按照 MCP SSE 协议进行交互

{
  "mcpServers": {
    "cti": {
      "command": "python",
      "args": ["-m", "src.server"],
      "cwd": "c:\\Users\\songj\\cti"
    }
  }
}

from mcp.client.streamable_http import streamablehttp_client

async with streamablehttp_client("http://localhost:8080/mcp") as (read, write, _):
    # 通过标准 MCP 协议调用 Tools
    ...

# 单元测试（Mock，无需 API Key）
pytest tests/ -v

# 业务场景测试（真实 API，需要配置 .env）
python tests/test_business_scenarios.py

cti/
├── src/
│   ├── server.py               # FastMCP 主入口（33 Tools + 10 Prompts + 11 Resources）
│   ├── correlation.py          # 跨源情报关联引擎 + CWE→ATT&CK 映射桥
│   ├── risk_scoring.py         # 复合风险评分引擎（CVSS+EPSS+KEV+厂商+情报 加权）
│   ├── config.py               # 配置管理（速率/认证/审计）
│   ├── models.py               # Pydantic 数据模型（含 CorrelationResult, RiskScore 等）
│   ├── cache.py                # TTL 内存缓存
│   ├── validators.py           # 输入验证 + SSRF 防护
│   ├── ratelimit.py            # 令牌桶速率限制
│   ├── circuit_breaker.py      # 熔断器状态机
│   ├── audit.py                # 结构化审计日志 (JSONL)
│   └── connectors/
│       ├── virustotal.py       # VirusTotal v3（熔断器+重试）
│       ├── otx.py              # AlienVault OTX（熔断器+重试）
│       ├── cve.py              # NIST NVD CVE API v2.0（熔断器+速率限制）
│       ├── mitre_attack.py     # MITRE ATT&CK Enterprise（本地 STIX）
│       ├── mitre_ics.py        # MITRE ATT&CK for ICS（本地 STIX）
│       ├── mitre_atlas.py      # MITRE ATLAS（AI 威胁，本地 YAML）
│       ├── mitre_d3fend.py     # MITRE D3FEND 防御映射
│       ├── cisa_ics.py         # CISA ICS Advisories（RSS）
│       ├── vendor_advisories.py# 13 家主流厂商 IT/OT/AI 安全公告（RSS/NVD，熔断器保护）
│       ├── threat_intel.py     # CISA KEV + EPSS
│       ├── osv.py              # OSV 开源漏洞库
│       └── mac_oui.py          # IEEE MAC OUI 厂商查询
├── tests/
│   ├── test_server.py          # 单元测试（63 tests）
│   └── test_business_scenarios.py  # 业务场景集成测试
├── logs/
│   └── audit.jsonl             # 审计日志（自动生成）
├── .mitre_cache/               # MITRE 本地 STIX/YAML 缓存（自动生成）
├── .env.example
├── pyproject.toml
└── README.md

# 一条命令完成全源关联：CVE → NVD → EPSS → KEV → CWE→ATT&CK → D3FEND → 厂商公告 → OTX → 风险评分
correlate_threat input_value="CVE-2024-3400" input_type="cve"

# 生成复合风险评分卡（CVSS 25% + EPSS 30% + KEV 20% + 厂商 10% + 情报 15%）
get_risk_card cve_id="CVE-2021-44228"

# 当前威胁态势快照
get_threat_landscape category="ot" limit=15

# 批量 IOC 研判（SIEM 告警队列）
batch_lookup_iocs indicators=[{"value":"185.220.101.45","type":"ip"},{"value":"evil.com","type":"domain"}]

# 批量 CVE 富化 + 自动按风险排序
batch_enrich_cves cve_ids=["CVE-2024-3400","CVE-2021-44228","CVE-2023-4966"]

# 批量检查哪些 CVE 已有厂商补丁指导
batch_vendor_check cve_ids=["CVE-2024-3400","CVE-2023-4966"] vendor="cisco"

# 检查可疑 IP
lookup_ioc indicator="185.220.101.45" ioc_type="ip"

# Log4Shell 漏洞情报
lookup_cve cve_id="CVE-2021-44228"

# 检索横向移动技术
search_mitre_techniques query="lateral movement credential"

# 查询 Siemens PLC 安全公告
search_ics_advisories vendor="Siemens" keyword="remote code"

# SCADA 攻击技术
get_mitre_ics_technique technique_id="T0855"

# Rockwell CVE 查询
lookup_ot_asset_cves vendor="rockwell" product="logix" severity="CRITICAL"

# 评估 LangChain Agent 威胁面
analyze_ai_agent_risk agent_framework="langchain"
  capabilities="web_search,code_execution,file_access,multi_agent"

# Prompt Injection 技术详情
get_atlas_technique technique_id="AML.T0051"

# LangChain 历史漏洞
lookup_ai_framework_cves framework="langchain" severity="CRITICAL"

# OWASP LLM 过度代理风险
get_owasp_llm_risk risk_id="LLM08"