mcp-greynoise

MCP server für die GreyNoise API — prüft, ob IP-Adressen Internet-Hintergrundrauschen oder potenziell gezielte Angriffe sind.

Schnellstart

npx mcp-greynoise

Das war's. Funktioniert sofort mit 10 Abfragen pro Tag (kein API-Schlüssel erforderlich).

Related MCP server: MCP AbuseIPDB Server

Was ist GreyNoise?

GreyNoise sammelt und analysiert internetweiten Scan-Traffic. Es sagt Ihnen:

• Noise: Scannt diese IP massiv das Internet? (Botnetze, Forscher, Crawler)

• RIOT: Ist diese IP ein bekannter, vertrauenswürdiger Dienst? (Google, Cloudflare, Microsoft, etc.)

• Classification: Bösartig, vertrauenswürdig oder unbekannt

Warum dies für die Sicherheit wichtig ist

Wenn Sie verdächtigen Traffic in Ihren Logs sehen:

Der Fall „NOT NOISE“ ist oft der wichtigste — er deutet darauf hin, dass jemand speziell an Ihren Systemen interessiert ist.

Demo

Beispielausgabe von check_ip:

IP: 51.91.185.74
Classification: MALICIOUS
Noise: YES - This IP has been observed scanning the internet
RIOT: NO - Not a known benign service IP
Last Seen: 2024-01-15
Details: https://viz.greynoise.io/ip/51.91.185.74

--- Interpretation ---
🚨 This IP is actively scanning the internet and classified as MALICIOUS. 
   Likely a scanner, botnet, or threat actor.

Installation

npm (empfohlen)

npm install -g mcp-greynoise

npx (keine Installation)

npx mcp-greynoise

Aus dem Quellcode

git clone https://github.com/nickjlucker/mcp-greynoise.git
cd mcp-greynoise
npm install
npm run build
node build/index.js

Konfiguration

Claude Desktop

Fügen Sie Folgendes zu Ihrer claude_desktop_config.json hinzu:

macOS: ~/Library/Application Support/Claude/claude_desktop_config.json
Windows: %APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "greynoise": {
      "command": "npx",
      "args": ["mcp-greynoise"],
      "env": {
        "GREYNOISE_API_KEY": "your-api-key-here"
      }
    }
  }
}

Umgebungsvariablen

Holen Sie sich einen kostenlosen API-Schlüssel unter viz.greynoise.io/signup.

⚠️ API-Schlüssel niemals committen. Siehe .env.example für die empfohlene Einrichtung.

Tools

check_ip

Überprüft eine einzelne IP-Adresse gegen GreyNoise.

Eingabe:

• ip (string): Zu überprüfende IPv4-Adresse

check_ips

Überprüft mehrere IP-Adressen in einem Aufruf (max. 10).

Eingabe:

• ips (string[]): Array von IPv4-Adressen

Beispielausgabe:

=== Results ===
8.8.8.8: RIOT (benign service) [Google]
51.91.185.74: NOISE - MALICIOUS
192.168.1.1: NOT NOISE (potentially targeted)

--- Legend ---
RIOT: Known benign service (CDN, DNS, etc.)
NOISE: IP is mass-scanning the internet
NOT NOISE: IP is NOT mass-scanning (traffic may be targeted)

Ressourcen

greynoise://status

Gibt API-Status und Ratenlimit-Informationen zurück.

Ratenlimits

Ratenlimits werden zwischen API-Aufrufen und dem GreyNoise Visualizer geteilt.

Sicherheit

Dieser Server:

• Liest nur von der GreyNoise API (kein Scannen, keine Ausnutzung)

• Speichert keine Daten über die aktuelle Anfrage hinaus

• Überträgt Ihren API-Schlüssel nirgendwohin außer an GreyNoise

• Führt nur Reputations-/Telemetrie-Anreicherung durch

Ihr API-Schlüssel wird über eine Umgebungsvariable übergeben und niemals protokolliert.

Anwendungsfälle

• SOC-Triage: Schnell feststellen, ob Alarm-IPs Hintergrundrauschen oder gezielt sind

• Incident Response: Identifizieren, ob Angreifer-IPs Massenscanner oder gezielte Bedrohungen sind

• Threat Hunting: Finden Sie IPs in Ihren Logs, die keine Massenscanner sind (potenziell gezielt)

• Log-Analyse: Reduzieren Sie Fehlalarme durch Herausfiltern bekannter Scanner

Entwicklung

# Install dependencies
npm install

# Run in development mode
npm run dev

# Build for production
npm run build

# Run built version
npm start

Lizenz

MIT

Links

• GreyNoise

• GreyNoise API Docs

• Model Context Protocol

• MCP Registry