Sophos Central MCP (solo lectura)

Servidor MCP no oficial que expone información de Sophos Central de solo lectura: estado de antivirus/endpoint, inventario y estado de firewalls, configuración de switches y protección de correo electrónico (cuarentena, buzones, estado de recuperación). Se basa en las API públicas de Sophos Central utilizando la colección de Postman del propio proveedor como fuente de referencia para rutas, cabeceras y formas de respuesta.

No está afiliado a Sophos, ni respaldado o patrocinado por Sophos.

Alcance: solo lectura, por diseño

Este servidor no implementa ningún endpoint de mutación — ni detrás de un flag, ni detrás de una lista de denegación; simplemente no están conectados. Se excluyen a propósito:

• Endpoint: aislar/desaislar, cambios de protección contra manipulaciones, CRUD de políticas, escaneos, registros forenses/vuelcos de memoria, CRUD de grupos de endpoints, migraciones.

• Firewall: actualizaciones de firmware, reinicio/otras acciones de firewall, CRUD de grupos de firewalls, escrituras de indicadores de la fuente de amenazas de MDR.

• Switch: escrituras en listas de filtrado MAC.

• Correo electrónico: liberación o eliminación de cuarentena/cuarentena posterior a la entrega, inicio de recuperación, creación/actualización/eliminación/masiva de buzones, escrituras de alias/delegado/propietario de lista de distribución, eliminación/reincorporación/descarga de adjuntos.

Si necesitas alguno de ellos, están documentados en la API de Sophos pero no implementados aquí — abre un issue o añade una herramienta siguiendo el mismo patrón en src/tools.ts.

Related MCP server: Sophos XGS MCP Server

Autenticación

Sophos Central utiliza credenciales de cliente OAuth2. Crea una Credencial de API en Sophos Central en Configuración > Gestión de credenciales de API, que te proporciona un Client ID y un Client Secret limitados a un inquilino (o a una cuenta de organización/socio que gestione varios inquilinos).

SOPHOS_CLIENT_ID=...
SOPHOS_CLIENT_SECRET=...

El servidor las intercambia por un token de acceso (https://id.sophos.com/api/v2/oauth2/token), resuelve el ID de inquilino del llamante y el host de API de la región de datos mediante whoami, y envía X-Tenant-ID (o X-Organization-ID/X-Partner-ID para esos tipos de credenciales) en cada solicitud posterior. No es necesario configurar ningún ID de inquilino manualmente.

Instalación

npm ci && npm run build

Luego apunta tu cliente MCP a dist/entry.js:

{
  "mcpServers": {
    "sophos-central": {
      "command": "node",
      "args": ["/path/to/sophos-central-mcp/dist/entry.js"],
      "env": {
        "SOPHOS_CLIENT_ID": "...",
        "SOPHOS_CLIENT_SECRET": "..."
      }
    }
  }
}

Herramientas

Notas sobre la superficie de API propia de Sophos

• La API de Switch es actualmente limitada. Los ejemplos de Postman del propio proveedor solo cubren ajustes de filtrado MAC y estado de tareas asíncronas — no hay documentado ningún endpoint separado de inventario de dispositivos switch hasta la fecha.

• La restauración de endpoints, el explorador de archivos y los registros de tráfico del firewall no están cubiertos por esta superficie de API en absoluto; la consola de Sophos Central sigue siendo el lugar para ello.