mcp-threatintel — MCP-сервер для Claude Code: проверка IP и хешей
Сводит проверки IP, доменов, хешей и URL к одному запросу: OTX, AbuseIPDB, GreyNoise, abuse.ch и Feodo Tracker. Нужен в разборе инцидентов и security-исследованиях.
claude mcp add mcp-threatintel -e OTX_API_KEY=<OTX_API_KEY> -e ABUSEIPDB_API_KEY=<ABUSEIPDB_API_KEY> -e GREYNOISE_API_KEY=<GREYNOISE_API_KEY> -e ABUSECH_AUTH_KEY=<ABUSECH_AUTH_KEY> -- npx -y mcp-threatintel-serverЧто делает mcp-threatintel
Сервер принимает индикатор и опрашивает все настроенные источники разом — вместо того чтобы открывать пять вкладок. Есть отдельные инструменты под каждый сервис: abuseipdb_check, otx_get_pulses, greynoise_ip, urlhaus_lookup, malwarebazaar_hash, threatfox_iocs. Инструменты включаются динамически: какие ключи прописали, те и работают. threatintel_status покажет, что подключено.
Ключи необязательны. Feodo Tracker тянет публичные JSON-фиды без авторизации, поэтому список активных C2-серверов ботнетов доступен сразу после установки. Остальные источники ждут своих переменных: OTX_API_KEY, ABUSEIPDB_API_KEY, GREYNOISE_API_KEY, ABUSECH_AUTH_KEY. Нужен Node.js 18 и выше.
Если один источник отдал ошибку, объединённый поиск всё равно вернёт данные от остальных. Код 401 означает протухший ключ, 429 — упёрлись в лимит бесплатного тарифа. Ставить есть смысл, когда разбираете подозрительный трафик или хеши и не хотите прыгать по сайтам вручную.
Какие задачи решает
- проверить IP по нескольким базам репутации сразу
- найти хеш файла в MalwareBazaar
- посмотреть свежие IOC из ThreatFox
- собрать список активных C2-серверов ботнетов
- проверить URL на попадание в блоклисты
Примеры запросов агенту
- Проверь IP 185.220.101.1 по всем источникам
- Есть ли этот SHA256 в базе вредоносных образцов?
- Покажи активные C2-серверы Emotet из Feodo Tracker
Как установить mcp-threatintel
Командой платформы
claude mcp add mcp-threatintel -e OTX_API_KEY=<OTX_API_KEY> -e ABUSEIPDB_API_KEY=<ABUSEIPDB_API_KEY> -e GREYNOISE_API_KEY=<GREYNOISE_API_KEY> -e ABUSECH_AUTH_KEY=<ABUSECH_AUTH_KEY> -- npx -y mcp-threatintel-serverВместо <…> подставьте свои значения
Командой платформы
codex mcp add mcp-threatintel --env OTX_API_KEY=<OTX_API_KEY> --env ABUSEIPDB_API_KEY=<ABUSEIPDB_API_KEY> --env GREYNOISE_API_KEY=<GREYNOISE_API_KEY> --env ABUSECH_AUTH_KEY=<ABUSECH_AUTH_KEY> -- npx -y mcp-threatintel-serverВместо <…> подставьте свои значения
Файл настроек
{
"mcpServers": {
"mcp-threatintel": {
"command": "npx",
"args": [
"-y",
"mcp-threatintel-server"
],
"env": {
"OTX_API_KEY": "<OTX_API_KEY>",
"ABUSEIPDB_API_KEY": "<ABUSEIPDB_API_KEY>",
"GREYNOISE_API_KEY": "<GREYNOISE_API_KEY>",
"ABUSECH_AUTH_KEY": "<ABUSECH_AUTH_KEY>"
}
}
}
}Вместо <…> подставьте свои значения
Файл настроек
{
"servers": {
"mcp-threatintel": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"mcp-threatintel-server"
],
"env": {
"OTX_API_KEY": "<OTX_API_KEY>",
"ABUSEIPDB_API_KEY": "<ABUSEIPDB_API_KEY>",
"GREYNOISE_API_KEY": "<GREYNOISE_API_KEY>",
"ABUSECH_AUTH_KEY": "<ABUSECH_AUTH_KEY>"
}
}
}
}Вместо <…> подставьте свои значения
Командой платформы
gemini mcp add -e OTX_API_KEY=<OTX_API_KEY> -e ABUSEIPDB_API_KEY=<ABUSEIPDB_API_KEY> -e GREYNOISE_API_KEY=<GREYNOISE_API_KEY> -e ABUSECH_AUTH_KEY=<ABUSECH_AUTH_KEY> mcp-threatintel npx -y mcp-threatintel-serverВместо <…> подставьте свои значения
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о mcp-threatintel
Как установить mcp-threatintel в Claude Code?
Выполните `claude mcp add mcp-threatintel -e OTX_API_KEY=<OTX_API_KEY> -e ABUSEIPDB_API_KEY=<ABUSEIPDB_API_KEY> -e GREYNOISE_API_KEY=<GREYNOISE_API_KEY> -e ABUSECH_AUTH_KEY=<ABUSECH_AUTH_KEY> -- npx -y mcp-threatintel-server`.
Что делает mcp-threatintel?
Даёт агенту инструменты для проверки IP, доменов, хешей и URL по нескольким базам угроз и возвращает результаты одним ответом.
Можно ли пользоваться без API-ключей?
Да. Feodo Tracker работает на публичных фидах без авторизации, остальные источники подключаются по мере добавления ключей.
