多功能安全MCP工具

面向云主机、服务器和虚拟机环境的自动威胁检测、安全基线合规和矿机分析一体化安全运维助手。支持实时发现、日志、API接口和可视化仪表盘。

基本介绍

Multi-Function Security MCP（多功能安全MCP）是基于Python开发的一款安全综合检测、基线审计和自动化取证工具。通过集成核心检测任务、实时日志、API及Web仪表盘，协助安全运维人员第一时间发现安全隐患、矿机活动和合规风险。

视频演示

主要特性：

• 五大安全工具任务：

  • log_analysis 日志分析：检测异常登录、密码失败、crontab和权限变更等系统/应用日志异常。

  • security_check 基础安全检查：快速扫描高危开放端口和疑似恶意进程。

  • traceability_analysis 关联溯源分析：自动关联各类IOC与检测结果，推断攻击链和异常联系。

  • baseline_check 安全基线检测：检测系统是否符合企业基线要求（文件权限、服务白名单/黑名单、sysctl配置等）。

  • miner_analysis 矿机检测分析：识别CPU/GPU挖矿进程、钱包和矿池域名、异常持久化行为。

• API接口与仪表盘：通过HTTP接口获取实时发现、任务状态、工具列表、完整日志（mcp.log）。

• 实时事件推送：支持SSE流（Server-Sent Events）接收JSON格式发现/风控升级事件。

• Web仪表盘：可视化总览、最新发现、任务进度和实时监控。

• 进程与网络检测安全：进程、端口、文件均通过psutil、安全子进程管理，减少误杀及权限问题。

• 认证保护：大部分API与页面采用Basic Auth访问控制。

• 任务去重与冷却机制：任务调用具备冷却周期与并发保护，防止重复扫描及频繁触发。

• 可选组件灵活降级：fastmcp、whois、aiohttp等依赖不存在时自动禁用相关功能。

• 详细日志记录：所有工具调用、任务执行、异常处理都记录到文件和控制台，方便取证和排查。

系统架构简介

• 任务管理器：调度与去重定时任务、自动执行安全检测，维护发现与决策引擎联动。

• 决策引擎：依据发现数量、严重等级自动判定是否需要升级处置（如阻断/隔离/修复）。

• API接口层：aiohttp框架实现，RESTful接口获取发现、任务、工具清单、日志及实时事件流（SSE）。

• MCP工具服务器：若安装fastmcp，自动暴露工具API接口用于自动化编排与集成。

安装方法

依赖环境：

• Python 3.8及以上

• psutil

• aiohttp （推荐，提供Web与API）

• python-whois （可选，加强IOC分析能力）

• PyYAML （加载自定义IOC方便）

或

未安装可选组件时，相关功能自动禁用，不影响主流程运行。

快速启动

• Web仪表盘与API端口默认8080，访问 http://localhost:8080

• MCP工具服务（如安装fastmcp）端口为8000

• mcp配置json

环境参数建议

• 支持命令行指定API认证与日志级别，无需环境变量。

主要功能、接口及用法

核心安全工具清单（/api/tools_manifest）

主要API接口

• /api/findings — 获取全部检测发现及指标（JSON）。

• /api/tasks — 当前/历史任务执行状态。

• /api/log — 全部日志文件（审计与异常分析）。

• /api/tools_manifest — 工具列表及参数格式（无需认证）。

• /events — 实时SSE事件流（发现/安全风控升级）。

• / — Web仪表盘公开最新发现与总体运行状态。

除清单接口外，均需要Basic Auth认证。

认证方式

安全与健壮性

• 权限敏感：具备root检测和权限回退机制，读取敏感文件失败亦不影响主流程。

• 安全子进程：命令行调用均有限时、可控，避免注入和僵尸进程问题。

• 去重与冷却机制：防止任务风暴和误杀。

• 认证保护：敏感API和页面均需认证，证书可自定义。

• 鲁棒性与兼容性：所有可选功能在依赖缺失时完美降级，异常自动记录。

• 线程/协程安全：核心任务队列采用锁和asyncio队列，提高并发安全性。

• 可取证日志：详细日志到文件，配合API支持自动审计与风控追溯。

个性化扩展

• 自定义IOC：可通过自定义YAML文件扩展矿机、恶意进程、域名、脚本等指标，启动时用--ioc-file参数指定。

• 参数配置：所有任务执行周期、冷却时间及检查阈值均可代码层或命令行灵活调整。

• 基线内容定制：可按实际运维要求调整SECURITY_BASELINE字典内容。

局限说明

• 表层分析为主：工具只做非破坏性检测与建议，未自动执行隔离或修改系统内容。

• 平台兼容性有限：部分功能需Linux环境、具备root权限。

• 安全运维辅助：建议结合其他安全产品及人工运维。

开源声明

本项目为安全研究用途开源，MIT协议，风险自担，请务必结合实际环境调优和测试。

参与与反馈

欢迎提issue、PR！源码及后续更新见 honysyang/mcp_tools 。

相关参考

• psutil官方文档

• aiohttp官方文档

• OWASP Security Baseline

• NIST Secure Baseline