intelthreadlinqs-mcp — MCP-сервер для Claude Code: угрозы, IOC и MITRE
Подключает к агенту базу по киберугрозам Threadlinqs: IOC, правила детекции, акторы, C2 и цепочки MITRE. Понадобится ключ API тарифа Purple или Gold.
claude mcp add --env THREADLINQS_API_KEY=<THREADLINQS_API_KEY> --env THREADLINQS_API_URL=<THREADLINQS_API_URL> --transport stdio intelthreadlinqs-mcp -- npx -y intelthreadlinqs-mcpЧто делает intelthreadlinqs-mcp
Сервер отдаёт агенту каталог инструментов для расследований: поиск угроз по идентификатору, разбор индикаторов компрометации, профили акторов и живые C2-биконы Cobalt Strike. Есть готовые запросы под Splunk SPL, Microsoft KQL и Sigma, а также ежедневные сводки и аналитика по нескольким движкам корреляции. Составные инструменты вроде get_threat_hunting_bundle собирают полное досье по одной угрозе: метаданные, IOC, запросы детекции и похожие кейсы.
Запускается через npx -y intelthreadlinqs-mcp, отдельная установка не нужна. Ключ передаётся в переменной THREADLINQS_API_KEY. Без ключа тарифа Purple или Gold сервер всё равно стартует и показывает список инструментов, но сами вызовы упираются в отказ на стороне сервиса — проверка уровня подписки идёт при каждом запросе. Регистрация сама по себе даёт нижний тариф, доступ к MCP открывается только после апгрейда.
Часть инструментов умеет предсказывать следующие техники MITRE по наблюдаемым переходам и искать пробелы в покрытии детекций. Список ограничен каталогом сервера: не ждите от него сканирования сети или сбора логов, это только справочный слой поверх внешней базы.
Какие задачи решает
- собрать полное досье по угрозе из одного запроса
- проверить индикатор из лога и найти связанные кейсы
- написать правила детекции под Splunk, KQL и Sigma
- найти техники MITRE без покрытия детекциями
- выгрузить блок-лист активных C2-адресов для фаервола
Примеры запросов агенту
- Найди досье по угрозе
TL-2026-0599и выпиши IOC с запросами детекции - Проверь домен из вчерашнего лога: какие угрозы и акторы с ним связаны
- Покажи техники MITRE без покрытия детекциями, начиная с самых приоритетных
Как установить intelthreadlinqs-mcp
Командой платформы
claude mcp add --env THREADLINQS_API_KEY=<THREADLINQS_API_KEY> --env THREADLINQS_API_URL=<THREADLINQS_API_URL> --transport stdio intelthreadlinqs-mcp -- npx -y intelthreadlinqs-mcpВместо <…> подставьте свои значения
Командой платформы
codex mcp add intelthreadlinqs-mcp --env THREADLINQS_API_KEY=<THREADLINQS_API_KEY> --env THREADLINQS_API_URL=<THREADLINQS_API_URL> -- npx -y intelthreadlinqs-mcpВместо <…> подставьте свои значения
Файл настроек
{
"mcpServers": {
"intelthreadlinqs-mcp": {
"command": "npx",
"args": [
"-y",
"intelthreadlinqs-mcp"
],
"env": {
"THREADLINQS_API_KEY": "<THREADLINQS_API_KEY>",
"THREADLINQS_API_URL": "<THREADLINQS_API_URL>"
}
}
}
}Вместо <…> подставьте свои значения
Файл настроек
{
"servers": {
"intelthreadlinqs-mcp": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"intelthreadlinqs-mcp"
],
"env": {
"THREADLINQS_API_KEY": "<THREADLINQS_API_KEY>",
"THREADLINQS_API_URL": "<THREADLINQS_API_URL>"
}
}
}
}Вместо <…> подставьте свои значения
Командой платформы
gemini mcp add -e THREADLINQS_API_KEY=<THREADLINQS_API_KEY> -e THREADLINQS_API_URL=<THREADLINQS_API_URL> intelthreadlinqs-mcp npx -y intelthreadlinqs-mcpВместо <…> подставьте свои значения
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о intelthreadlinqs-mcp
Как установить intelthreadlinqs-mcp в Claude Code?
Выполните claude mcp add intelthreadlinqs-mcp -e THREADLINQS_API_KEY=<THREADLINQS_API_KEY> -- npx -y intelthreadlinqs-mcp. Ключ подставьте свой, иначе вызовы инструментов будут отклонены.
Что делает intelthreadlinqs-mcp?
Даёт агенту доступ к базе Threadlinqs: угрозы, IOC, правила детекции, профили акторов, инфраструктура C2 и анализ по MITRE.
Какой тариф нужен для работы?
Вызовы инструментов открыты на Purple или Gold, то есть на уровне подписки не ниже третьего. С ключом нижнего тарифа сервер запустится, но данные не вернёт.
