ThreatBook

You run an MCP server that exposes a complete Threat Intelligence API set, enabling you to query IPs, domains, files, URLs, vulnerabilities, and IOC indicators. This server connects to the 微步在线威胁分析 API and provides practical, scriptable access for security operations, incident response, and threat hunting.

How to use

Install and run the MCP server locally, then connect your MCP client to the local process. You do not need to send raw HTTP requests; your MCP client will call the server using the MCP protocol to query threat intelligence across IPs, domains, files, URLs, vulnerabilities, and IOC indicators.

How to install

Prerequisites: you need Python installed on your system.

1. Prepare your environment and dependencies.

# 进入项目目录
cd ThreatMCP

# 安装依赖
pip install -r requirements.txt

2. Configure your API key for 微步在线威胁分析. Set the environment variable THREATBOOK_API_KEY to your API key.

export THREATBOOK_API_KEY="your_threatbook_api_key_here"

3. 启动服务器。使用 Python 运行根目录下的服务器启动脚本。你需要在包含 ThreatMCP 的目录中执行以下命令：

python run_server.py

4. 验证服务是否正在运行。你应看到服务器启动日志，并在本地监听 MCP 请求。确保你的 MCP 客户端指向本地进程以进行交互。

Configuration and usage notes

本 MCP 服务器提供一个本地执行方式的集成，默认使用 Python 环境和本地脚本启动。若要在集成中使用，请将运行命令与所需环境变量作为一个可重复的配置项，以便你的客户端能够稳定连接并执行查询。

Security considerations

保护你的 API 密钥。仅在受控环境中暴露 THREATBOOK_API_KEY，避免将密钥硬编码在配置文件中。定期轮换密钥，并对访问 MCP 服务的客户端进行最小权限配置。

Troubleshooting

• 确认 Python 版本符合要求（建议使用 Python 3.8 及以上）
• 确保 requirements.txt 已正确安装且网络可访问
• 检查 THREATBOOK_API_KEY 是否设置并可在服务器环境中读取
• 查看 run_server.py 日志输出以获取启动信息或错误信息
• 若客户端无法连接，请确认本地防火墙设置允许 MCP 流量

Notes

此服务器提供完整的 15 种威胁情报工具，覆盖 IP、域名、文件、URL、漏洞等查询能力。若需要，将环境变量和本地启动配置复制到你的集成客户端中，以实现无缝的自动化查询。

Available tools

ip_reputation

IP信誉查询：查询 IP 地址的信誉信息，帮助判定是否来自已知恶意源。

ip_analysis

IP分析：获取 IP 的地理位置、ASN 信息、威胁类型等上下文数据。

ip_advanced

IP高级查询：获取 IP 的历史解析、端口信息等多维信息。

ioc_detection

失陷检测：检测 IP/域名是否为失陷指示物，帮助快速定位潜在威胁。

domain_analysis

域名分析：查询域名解析、Whois 信息和潜在威胁类型。

domain_advanced

域名高级查询：获取历史 Whois、历史解析等。

domain_context

域名上下文查询：检索恶意域名相关上下文信息，辅助威胁推断。

subdomain

子域名查询：获取域名的子域名信息。

file_analysis

文件信誉报告：提供文件的静态与动态分析结果。

file_multiengines

文件反病毒引擎检测：汇集 22 款反病毒引擎的检测结果。

file_upload

文件上传分析：将文件提交以进行沙箱分析。

url_scan

URL扫描：对 URL 进行扫描分析，提取潜在威胁。

url_report

URL信誉报告：获取对 URL 的检测结果。

vulnerability

漏洞情报：提供公开漏洞的基础信息、风险评估、PoC 等。

vuln_match

产品漏洞匹配：通过厂商产品信息聚合相关漏洞。