MISP MCP 服务器

一个模型上下文协议 (MCP) 服务器，它与 MISP (恶意软件信息共享平台) 集成，为大型语言模型提供威胁情报能力。

功能

• Mac 恶意软件检测: 搜索最新的 macOS 相关恶意软件样本
• 跨平台威胁情报: 搜索影响 Windows、macOS、Linux、Android、iOS 和 IoT 设备的威胁
• 高级搜索功能: 按属性类型、标签、威胁参与者或 TLP 分类进行搜索
• IoC 提交: 将新的入侵指标直接提交到您的 MISP 实例
• 威胁情报报告: 基于 MISP 数据生成综合报告
• MISP 统计: 获取有关您的 MISP 实例数据的见解

前提条件

• Python 3.10 或更高版本
• 具有 API 访问权限的 MISP 实例
• 具有适当权限的 API 密钥

安装

1. 克隆此存储库：

   git clone https://github.com/yourusername/misp-mcp-server.git
   cd misp-mcp-server
   

2. 创建一个虚拟环境并安装依赖项：

   python -m venv venv
   source venv/bin/activate  # 在 Windows 上：venv\Scripts\activate
   pip install "mcp[cli]" pymisp
   

配置

设置以下环境变量以连接到您的 MISP 实例：

• MISP_URL - 您的 MISP 实例的 URL（例如，“https://misp.example.com”）
• MISP_API_KEY - 您的 MISP API 密钥
• MISP_VERIFY_SSL - 是否验证 SSL 证书（True/False）

用法

作为独立服务器运行

python misp_server.py

使用 MCP Inspector 进行测试

mcp dev misp_server.py

在 Claude Desktop 中安装

编辑您的 Claude Desktop 配置文件：

macOS:

~/Library/Application Support/Claude/claude_desktop_config.json

Windows:

%APPDATA%\Claude\claude_desktop_config.json

添加 MISP MCP 服务器配置：

{
  "mcpServers": {
    "misp-intelligence": {
      "command": "python",
      "args": ["/path/to/misp_server.py"],
      "env": {
        "MISP_URL": "https://your-misp-instance.com",
        "MISP_API_KEY": "your-api-key-here",
        "MISP_VERIFY_SSL": "True"
      }
    }
  }
}

或者，使用 MCP CLI：

mcp install misp_server.py --name "MISP Threat Intelligence" -v MISP_URL=https://your-misp-instance.com -v MISP_API_KEY=your-api-key

可用工具

get_mac_malware

从 MISP 获取最新的 Mac 相关恶意软件样本。

参数：

• days (默认: 30): 回溯的天数
• limit (默认: 10): 返回的最大结果数

get_platform_malware

从 MISP 获取特定平台的最新恶意软件样本。

参数：

• platform: 要搜索的平台 (windows, macos, linux, android, ios, iot)
• days (默认: 30): 回溯的天数
• limit (默认: 10): 返回的最大结果数

advanced_search

在 MISP 中执行高级搜索。

参数：

• query_type: 搜索类型 (attribute_type, tag, threatactor, tlp)
• query_value: 要搜索的值
• platform (可选): 平台过滤器 (windows, macos, linux, android, ios, iot)
• days (默认: 30): 回溯的天数
• limit (默认: 10): 返回的最大结果数

submit_ioc

将新的入侵指标 (IoC) 提交到 MISP。

参数：

• ioc_value: 实际的 IoC 值（例如，哈希、URL、IP）
• ioc_type: IoC 的类型（例如，md5、sha256、url、ip-dst、filename）
• event_info: 事件的简要描述
• category (默认: "Artifacts dropped"): 属性的类别
• platform (可选): 受影响的平台 (windows, macos, linux, android, ios, iot)
• tlp (默认: "amber"): 流量灯协议级别 (white, green, amber, red)
• comment (可选): IoC 的可选注释

generate_threat_report

基于 MISP 数据生成全面的威胁情报报告。

参数：

• days (默认: 30): 报告中包含的天数
• platforms (默认: "all"): 平台逗号分隔列表或 "all"
• threat_level (默认: "all"): 按威胁级别过滤 (low, medium, high, all)
• include_stats (默认: True): 是否包含统计信息

search_misp

在 MISP 中搜索特定威胁。

参数：

• query: 搜索词（例如，CVE ID、恶意软件名称、哈希）
• days (默认: 30): 回溯的天数

get_misp_stats

获取有关 MISP 实例的统计信息。

可用资源

feeds://recent/{days}

获取有关最近 MISP 订阅源的信息。

参数：

• days (默认: 7): 回溯的天数

使用 Claude 的示例查询

1. "最新的 Mac 相关恶意软件样本是什么？"
2. "显示过去 2 周的 Windows 恶意软件"
3. "在 MISP 中搜索 CVE-2023-12345"
4. "将此 IoC 提交到 MISP：1a2b3c4d5e6f7g8h9i0j，类型：md5，描述：在网络钓鱼电子邮件中发现的可疑文件"
5. "生成过去一个月的威胁情报报告"
6. "当前的 MISP 统计信息是什么？"
7. "获取有关最近 MISP 订阅源的信息"
8. "执行与银行木马相关的 TLP:RED 事件的高级搜索"

贡献

欢迎贡献！请随时提交 Pull Request。

许可证

该项目根据 MIT 许可证获得许可 - 有关详细信息，请参阅 LICENSE 文件。