WireMCP 中文版

WireMCP 是一个模型上下文协议（MCP）服务器，旨在增强大规模语言模型（LLMs）在实时网络流量分析方面的功能。借助基于 Wireshark 的 tshark 工具构建的实用工具，WireMCP 捕捉并处理实时网络数据，为 LLMs 提供结构化上下文信息，使其能够协助执行威胁狩猎、网络诊断和异常检测等任务。

功能

WireMCP 向 MCP 客户端提供了以下工具，增强 LLM 对网络活动的理解：

• capture_packets：捕获实时流量并返回 JSON 格式的原始包数据，使 LLM 能够分析包级别的细节（如 IP 地址、端口、HTTP 方法）。
• get_summary_stats：提供协议层次统计信息，让 LLM 了解流量构成的概览（如 TCP 和 UDP 的使用情况）。
• get_conversations：返回 TCP/UDP 会话统计信息，帮助 LLM 跟踪端点之间的通信流程。
• check_threats：捕获 IP 地址并检查其在 URLhaus 黑名单中的状态，使 LLM 能够识别潜在威胁。
• check_ip_threats：对特定 IP 地址执行多源威胁情报查询，提供详细声誉和威胁信息。
• analyze_pcap：分析 pcap 文件并生成结构化输出，供 LLM 解释网络活动。
• generate_report：根据输入数据生成自然语言报告。

如何帮助 LLMs

LLMs 可以利用这些输出：

• 提供网络活动的自然语言解释
• 识别模式和潜在安全问题
• 提供上下文相关的建议
• 生成易于理解的人类报告

入门指南

先决条件

• 操作系统：Linux 或 macOS（推荐）
• 已安装并配置 Wireshark 的 tshark 工具
• Node.js 和 npm 环境

安装步骤

1. 克隆 WireMCP 仓库：

git clone https://github.com/your-repository/wire-mcp.git

2. 安装依赖项：

cd wire-mcp
npm install

3. 启动服务器：

node index.js

使用说明

配置文件路径

• 示例配置文件路径：config.json

示例命令

curl -X POST http://localhost:3000/api/capture-packets -d '{"interface":"eth0","duration":60}'

输出示例

捕获数据包输出

{
  "packets": [
    {
      "timestamp": "12:34:56.789",
      "source_ip": "192.168.1.1",
      "destination_ip": "192.168.1.2",
      "protocol": "TCP",
      "src_port": 1550,
      "dst_port": 23
    }
  ]
}

分析 pcap 文件输出

{
  "summary": {
    "total_packets": 1000,
    "unique_hosts": 5,
    "traffic_volume": "1.2 MB"
  },
  "threats": [],
  "diagnostics": {
    "highest_bandwidth_usage": "192.168.1.3:80 (HTTP)",
    "inactive_interfaces": []
  }
}

路线图

• 扩展 IOC 数据源：目前仅使用 URLhaus 进行威胁检查。未来计划整合更多来源（如 IPsum、Emerging Threats）以扩大覆盖范围。
• 增强报告功能：改进生成的自然语言报告，增加图表和可视化元素。
• 优化性能：提升大规模数据处理效率。

贡献

欢迎贡献！请随时提交 Pull Request。对于重大更改，请先打开问题讨论您想修改的内容。

许可证

MIT

致谢

• Wireshark/tshark 团队，感谢他们的出色包分析工具。
• Model Context Protocol 社区，感谢框架和规范的制定。
• URLhaus，感谢提供威胁情报数据。