# intelthreadlinqs-mcp

Подключает к агенту базу по киберугрозам Threadlinqs: IOC, правила детекции, акторы, C2 и цепочки MITRE. Понадобится ключ API тарифа Purple или Gold.

- MCP-сервер · `type=mcp` · Claude Code, Codex, Cursor, GitHub Copilot, Windsurf (Devin Desktop), Cline, Zed, Gemini CLI
- Автор: threadlinqs-cmd
- Лицензия: MIT · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/threadlinqs-cmd/intelthreadlinqs-mcp
- Обновлён: 2026-08-23
- HTML: https://affpapa.org/nevibecode/mcp/intelthreadlinqs-mcp

## Что делает

Сервер отдаёт агенту каталог инструментов для расследований: поиск угроз по идентификатору, разбор индикаторов компрометации, профили акторов и живые C2-биконы Cobalt Strike. Есть готовые запросы под Splunk SPL, Microsoft KQL и Sigma, а также ежедневные сводки и аналитика по нескольким движкам корреляции. Составные инструменты вроде `get_threat_hunting_bundle` собирают полное досье по одной угрозе: метаданные, IOC, запросы детекции и похожие кейсы.

Запускается через `npx -y intelthreadlinqs-mcp`, отдельная установка не нужна. Ключ передаётся в переменной `THREADLINQS_API_KEY`. Без ключа тарифа Purple или Gold сервер всё равно стартует и показывает список инструментов, но сами вызовы упираются в отказ на стороне сервиса — проверка уровня подписки идёт при каждом запросе. Регистрация сама по себе даёт нижний тариф, доступ к MCP открывается только после апгрейда.

Часть инструментов умеет предсказывать следующие техники MITRE по наблюдаемым переходам и искать пробелы в покрытии детекций. Список ограничен каталогом сервера: не ждите от него сканирования сети или сбора логов, это только справочный слой поверх внешней базы.

## Требования
- Нужно: Node.js (команды через npx)
- Переменные окружения: `THREADLINQS_API_KEY`, `THREADLINQS_API_URL` — это ключи и токены: значения спроси у человека, в репозиторий и общие файлы не записывай.

## Установка

### Claude Code (родная платформа)

**Командой платформы**
```bash
claude mcp add --env THREADLINQS_API_KEY=<THREADLINQS_API_KEY> --env THREADLINQS_API_URL=<THREADLINQS_API_URL> --transport stdio intelthreadlinqs-mcp -- npx -y intelthreadlinqs-mcp
```
Вместо <…> подставьте свои значения

### Codex

**Командой платформы**
```bash
codex mcp add intelthreadlinqs-mcp --env THREADLINQS_API_KEY=<THREADLINQS_API_KEY> --env THREADLINQS_API_URL=<THREADLINQS_API_URL> -- npx -y intelthreadlinqs-mcp
```
Вместо <…> подставьте свои значения

### Cursor

**Файл настроек**
Файл `.cursor/mcp.json`:
```json
{
    "mcpServers": {
        "intelthreadlinqs-mcp": {
            "command": "npx",
            "args": [
                "-y",
                "intelthreadlinqs-mcp"
            ],
            "env": {
                "THREADLINQS_API_KEY": "<THREADLINQS_API_KEY>",
                "THREADLINQS_API_URL": "<THREADLINQS_API_URL>"
            }
        }
    }
}
```
Вместо <…> подставьте свои значения

### GitHub Copilot

**Файл настроек**
Файл `.vscode/mcp.json`:
```json
{
    "servers": {
        "intelthreadlinqs-mcp": {
            "type": "stdio",
            "command": "npx",
            "args": [
                "-y",
                "intelthreadlinqs-mcp"
            ],
            "env": {
                "THREADLINQS_API_KEY": "<THREADLINQS_API_KEY>",
                "THREADLINQS_API_URL": "<THREADLINQS_API_URL>"
            }
        }
    }
}
```
Вместо <…> подставьте свои значения

### Gemini CLI

**Командой платформы**
```bash
gemini mcp add -e THREADLINQS_API_KEY=<THREADLINQS_API_KEY> -e THREADLINQS_API_URL=<THREADLINQS_API_URL> intelthreadlinqs-mcp npx -y intelthreadlinqs-mcp
```
Вместо <…> подставьте свои значения

## Когда брать
- собрать полное досье по угрозе из одного запроса
- проверить индикатор из лога и найти связанные кейсы
- написать правила детекции под Splunk, KQL и Sigma
- найти техники MITRE без покрытия детекциями
- выгрузить блок-лист активных C2-адресов для фаервола

## Примеры запросов агенту
- Найди досье по угрозе `TL-2026-0599` и выпиши IOC с запросами детекции
- Проверь домен из вчерашнего лога: какие угрозы и акторы с ним связаны
- Покажи техники MITRE без покрытия детекциями, начиная с самых приоритетных

## Похожие
- [analyzing-indicators-of-compromise](https://affpapa.org/nevibecode/skills/analyzing-indicators-of-compromise.md) — скилл · 466 установок
- [analyzing-campaign-attribution-evidence](https://affpapa.org/nevibecode/skills/analyzing-campaign-attribution-evidence.md) — скилл · 464 установки
- [Cyberbro MCP Server](https://affpapa.org/nevibecode/mcp/cyberbro-mcp-server.md) — MCP-сервер · ★ 19
- [security-investigator-automation](https://affpapa.org/nevibecode/skills/security-investigator-automation.md) — скилл · 322 установки
- [dt-sec-ioc-hunting](https://affpapa.org/nevibecode/skills/dt-sec-ioc-hunting.md) — скилл · 1100 установок
- [incident-triage](https://affpapa.org/nevibecode/skills/incident-triage.md) — скилл · 361 установка

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md