Google MCP Security
Официальные MCP-серверы Google для SecOps, SOAR, Threat Intelligence и Security Command Center, плюс расширение для Gemini CLI с разбором алертов
- 535 ★ репозитория
- Последний коммит
- Apache-2.0
Широкий доступ
Почему такой уровень
- Серверы читают данные расследований, события безопасности и кейсы и передают их в контекст языковой модели
- Сервер SOAR запускает интеграции оркестрации, которые действуют во внешних системах вроде OKTA
- Учетные данные Google и ключи VT_APIKEY и SOAR_APP_KEY открывают доступ к продуктам безопасности организации
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add mcp/google-mcp-securityОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Серверы читают данные расследований, события безопасности и кейсы и передают их в контекст языковой модели
- Сервер SOAR запускает интеграции оркестрации, которые действуют во внешних системах вроде OKTA
- Учетные данные Google и ключи VT_APIKEY и SOAR_APP_KEY открывают доступ к продуктам безопасности организации
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Репозиторий собирает MCP-серверы для продуктов Google по безопасности. Сервер SecOps работает с Google Security Operations (Chronicle) и помогает искать угрозы, расследовать инциденты и охотиться на них. Сервер SOAR подключается к оркестрации и автоматизации реагирования, причем набор интеграций выбирается флагом, например CSV и OKTA. Сервер GTI дает доступ к данным Google Threat Intelligence через ключ VirusTotal, а сервер SCC открывает облачные находки Security Command Center. Каждый сервер ставится и запускается отдельно. Для SecOps есть и управляемый удаленный сервер, помеченный рекомендуемым: локальное окружение Python ему не нужно, доступ идет через роль roles/mcp.toolUser в Google Cloud. В репозитории также лежит готовый автономный агент SOC на Google ADK, который запускается интерактивной консолью или как сервис для Cloud Run. Отдельное расширение для Gemini CLI приносит готовые навыки: `triage` для разбора алертов, `investigate` для расследования и `hunt` для поиска угроз. Рядом лежит справочник соответствия инструментов локального и удаленного серверов и описания персон, от аналитика SOC первой линии до CISO.
Для кого. Для аналитиков SOC, инженеров детектирования и охотников за угрозами, у которых уже есть Google SecOps, Google Threat Intelligence или Security Command Center.
Подходит, если
- Алерт в Chronicle нужно разобрать по протоколу: собрать детали кейса, проверить дубли, оценить как ложное, безвредное или истинное срабатывание
- Требуется найти события по естественному запросу: удаленный сервер сначала переводит его в запрос UDM, затем выполняет поиск
- Подозрительный хеш, домен или адрес надо сверить с данными Google Threat Intelligence через ключ VirusTotal
- Нужно собрать плейбук реагирования в SOAR и включить только интеграции CSV и OKTA
- Требуется быстро поднять агента SOC на Google ADK: консольный режим для расследований или сервис на Cloud Run
Не подходит, если
- У вас нет Chronicle, SOAR, Threat Intelligence или Security Command Center: серверы работают только с этими продуктами Google
- Нужен инструмент для проверки собственного кода на уязвимости: здесь разбирают алерты и инциденты, а не исходники
- Нужен наступательный набор вроде сканера портов: серверы обращаются к API Google, а не к инструментам пентеста
- Политика компании не позволяет передавать данные расследований языковой модели: ответы серверов попадают в контекст агента
- Хватает облачного удаленного сервера и не хочется держать локальное окружение: тогда ставьте только удаленный вариант и пропустите пакеты
Пример запроса к агенту
Разбери кейс 4521 из Chronicle по протоколу `triage`: собери детали, проверь дубли и скажи, ложное это срабатывание или нужно расследованиеMCP
- Транспорт
- stdio
- Авторизация
- ключ необязателен
Переменные окружения
CHRONICLE_PROJECT_IDобязательная- Идентификатор проекта Google Cloud для сервера SecOps
CHRONICLE_CUSTOMER_IDобязательная- Идентификатор клиента Chronicle в формате UUID
CHRONICLE_REGIONобязательная- Регион Chronicle, например us
VT_APIKEYсекрет- Ключ VirusTotal для сервера Google Threat Intelligence
SOAR_APP_KEYсекрет- Ключ приложения для сервера SOAR, вместе с SOAR_URL
Ограничения
Серверы требуют учетных данных Google: Application Default Credentials или переменную GOOGLE_APPLICATION_CREDENTIALS либо вход командой `gcloud auth application-default login`. Для SecOps задаются CHRONICLE_PROJECT_ID, CHRONICLE_CUSTOMER_ID и CHRONICLE_REGION, для GTI нужен ключ VT_APIKEY, для SOAR адрес SOAR_URL и ключ SOAR_APP_KEY.
Удаленный сервер нужно включить в проекте Google Cloud командой `gcloud beta services mcp enable chronicle.googleapis.com/mcp`. Он использует REST API Chronicle, поэтому инструменты SOAR работают только после миграции на этот API, а инструменты SIEM доступны сразу. Для каждого запроса удаленному серверу нужны идентификатор клиента, регион и проект, их рекомендуют вписать в файл контекста, например GEMINI.md.
Локальные серверы используют транспорт stdio и запускаются через uv или pip. Доступность сервисов Google из России автор не описывает.
Как отключить. Удалите записи secops, gti, scc-mcp и secops-soar из конфигурации MCP и перезапустите клиент. Установленные пакеты снимаются командой uv tool uninstall. Удаленный сервер отключается в проекте Google Cloud, а доступ отзывается снятием роли roles/mcp.toolUser.
Частые вопросы
Как подключить Google SecOps MCP к Claude Code?
Установите пакет командой uv tool install google-secops-mcp и добавьте в конфигурацию Claude Code сервер secops: команда uvx, аргументы --from google-secops-mcp secops_mcp, в env переменные CHRONICLE_PROJECT_ID, CHRONICLE_CUSTOMER_ID и CHRONICLE_REGION. Файл конфигурации Claude Code по таблице репозитория лежит в ~/.claude.json.
Чем удаленный сервер SecOps отличается от локальных пакетов?
Удаленный сервер управляется Google, не требует Python-окружения и входит в рекомендованный вариант. Он использует REST API Chronicle, а доступ ограничивается ролью roles/mcp.toolUser. Локальные пакеты запускаются у вас через uv или pip и вызывают библиотеку `secops-py`.
Какие навыки есть у расширения для Gemini CLI?
Три рабочих навыка: `triage` для разбора алертов с оценкой ложных срабатываний, `investigate` для расследований и `hunt` для поиска угроз. Еще два навыка, `setup-gemini-cli` и `setup-antigravity`, настраивают подключение к удаленному серверу.
Что нужно для сервера Google Threat Intelligence?
Ключ VirusTotal в переменной VT_APIKEY. Сервер ставится пакетом gti-mcp и запускается командой uvx gti_mcp.
Можно ли ограничить, какие интеграции SOAR подключит сервер?
Да, флагом --integrations со списком через запятую, например CSV,OKTA. В репозитории есть описания десятков интеграций SOAR, и подключать стоит только те, которыми вы пользуетесь.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыMCP-сервер, который дает агенту разбор уязвимостей: данные NVD, EPSS, каталог CISA KEV, связки с MITRE ATT&CK и оценка риска CVE в одном запросе
Мост между MCP-клиентом и терминалом Kali Linux: агент запускает nmap, sqlmap, hydra и другие инструменты для авторизованного пентеста и CTF
Инструмент проверки безопасности облачных аккаунтов Alibaba, Tencent и других китайских провайдеров с режимом MCP для агента.
MCP-Shield находит конфигурации MCP, подключается к серверам и ищет в описаниях инструментов скрытые команды, каналы утечки и подмену чужих инструментов
MCP-сервер для наступательной безопасности: агент запускает более 150 инструментов пентеста и разведки и ведет автоматическую проверку целей
Расширение безопасности для Gemini CLI
Gemini CLI Security Extension
Расширение Gemini CLI от Google: ищет уязвимости в изменениях ветки и проверяет зависимости через OSV-Scanner
Коротко о README
Документ перечисляет пять компонентов: управляемый удаленный сервер SecOps, локальные серверы SecOps, SOAR, GTI и SCC. Дальше описаны аутентификация Google, установка пакетов через uv tool install или pip, запуск командой uvx и пример конфигурации клиента с переменными окружения. Таблица показывает, где лежит файл настроек в Gemini CLI, Claude Desktop, Claude Code, Cursor, VS Code и Cline. Завершают раздел автономный агент SOC на Google ADK и инструкции для Claude Desktop и Cline.