Sophos Central MCP

Sophos中央MCP服务器

MCP（模型上下文协议）服务器，用于与Sophos中央API交互。通过自动区域路由支持合作伙伴、组织和单租户凭据类型。 255工具 覆盖14个Sophos API命名空间。

快速开始

克劳德桌面

无需安装。打开你的 claude_desktop_config.json （文件>设置>开发人员>编辑配置）并添加 sophos-central 内部堵塞 mcpServers:

macOS/Linux：

{
  "mcpServers": {
    "sophos-central": {
      "command": "npx",
      "args": ["-y", "sophos-central-mcp-server"],
      "env": {
        "SOPHOS_CLIENT_ID": "your-client-id",
        "SOPHOS_CLIENT_SECRET": "your-client-secret",
        "TRANSPORT": "stdio"
      }
    }
  }
}

窗户：

{
  "mcpServers": {
    "sophos-central": {
      "command": "cmd",
      "args": ["/c", "npx", "-y", "sophos-central-mcp-server"],
      "env": {
        "SOPHOS_CLIENT_ID": "your-client-id",
        "SOPHOS_CLIENT_SECRET": "your-client-secret",
        "TRANSPORT": "stdio"
      }
    }
  }
}

如果您已经配置了其他MCP服务器，不要替换整个文件，只需添加 "sophos-central": { ... } 在现有服务器旁边进入 "mcpServers" 对象。

替换 your-client-id 和 your-client-secret 和你一起 Sophos Central API证书。保存后重新启动Claude Desktop——它将在首次使用时自动下载并运行服务器。

克劳德代码

在终端中运行一次。这个 -e 标志将凭据永久保存到Claude Code的MCP配置中，因此您不需要在每个会话中重新导出它们：

macOS/Linux：

claude mcp add sophos-central \
  -e SOPHOS_CLIENT_ID="your-client-id" \
  -e SOPHOS_CLIENT_SECRET="your-client-secret" \
  -e TRANSPORT="stdio" \
  -- npx -y sophos-central-mcp-server

Windows（命令提示符）：

claude mcp add sophos-central ^
  -e SOPHOS_CLIENT_ID="your-client-id" ^
  -e SOPHOS_CLIENT_SECRET="your-client-secret" ^
  -e TRANSPORT="stdio" ^
  -- cmd /c npx -y sophos-central-mcp-server

特性

• 通用呼叫者支持：与合作伙伴、组织和租户级别的API证书合作
• 多用户：合作伙伴/组织呼叫者可以跨所有托管租户进行查询
• 合作伙伴差距分析：所有托管租户的单次通话销售机会报告--并行获取健康数据，并返回每个客户的安全漏洞的紧凑排名列表
• 自动区域路由：通过以下方式发现租户数据区域 /whoami/v1 并将请求路由到正确的区域API主机
• 代币生命周期：到期前自动刷新OAuth2令牌
• 费率限制处理：对429个响应进行回退重试
• 双重运输：可流式HTTP（适用于克劳德桌面/克劳德代码）或stdio
• API全面覆盖：255个工具，涵盖端点、警报、策略、防火墙、电子邮件、移动设备、XDR、案例、SIEM等

截图

查询租户并深入了解端点状态：

租户健康审计，包括完整的类别细分：

Tenant health overview

Tenant health detail and endpoints

先决条件

• Node.js 20或更高版本
• Sophos Central API证书（客户ID+客户机密）

正在创建API凭据

租户级别：在Sophos Central，前往 设置>API凭据管理 并创建新凭证。

合作伙伴级别：在Sophos合作伙伴仪表板中，在下创建API凭据 设置>API凭据.

组织层面：在Sophos Central Enterprise中，使用 全局设置>API凭据管理.

配置

复制 .env.example 到 .env 并设置您的凭据：

SOPHOS_CLIENT_ID=your-client-id
SOPHOS_CLIENT_SECRET=your-client-secret
PORT=3100
TRANSPORT=http

工具

合作伙伴和组织（18个工具）

这些工具仅适用于 合作伙伴或组织级别 资格证书。他们在所有管理的租户中运营。

警报（4个工具）

端点（18个工具）

端点设置（30个工具）

端点迁移（7个工具）

政策（6个工具）

端点组（7个工具）

排除和允许/阻止列表（9个工具）

帐户运行状况（3个工具）

目录用户和组（17个工具）

行政管理（13个工具）

案例（9个工具）

检测（6个工具）

异步API-启动查询，轮询完成，然后获取结果。

SIEM（2个工具）

XDR数据湖（9个工具）

异步API-根据历史遥测提交SQL查询。

实时发现（4个工具）

异步API-在活动终结点上运行OSquery SQL。速度限制为10次/分钟，500次/天。

防火墙（19个工具）

电子邮件保护（29个工具）

移动设备管理（32个工具）

DNS保护（5个工具）

云安全（5个工具）

Wi-Fi（3个工具）

用户活动（2个工具）

租户背景

对于 合作伙伴/组织 调用者，每个租户范围的工具都需要 tenant_id 参数。使用 sophos_list_tenants 首先发现可用的租户ID。

对于 租户级别 呼叫者， tenant_id 是可选的，默认为经过身份验证的租户。

建筑

Authenticate (OAuth2 client credentials)
    |
    v
/whoami/v1 -> Discover identity type (partner | organization | tenant)
    |
    v
If partner/org: enumerate tenants, cache {tenantId -> apiHost}
    |
    v
Register tools based on identity type
    |
    v
Per tool call: resolve tenant -> regional API host -> execute request

关键决策

• 动态刀具注册：只有对调用者类型有效的工具才会暴露给LLM
• 显式租户上下文：合作伙伴/组织调用者必须指定 tenant_id 防止跨租户事故
• 无状态HTTP：每个MCP请求都会创建一个新的传输实例（无会话关联）
• 本地主机绑定：HTTP服务器绑定到 127.0.0.1 仅

项目结构

src/
├── index.ts                     # Entry point, server bootstrap
├── config/config.ts             # Environment config
├── auth/token-manager.ts        # OAuth2 token lifecycle
├── client/
│   ├── sophos-client.ts         # HTTP client with region routing
│   └── tenant-resolver.ts       # Whoami + tenant cache
├── tools/
│   ├── helpers.ts               # Shared response formatting
│   ├── tenants.ts               # Tenant listing (partner/org only)
│   ├── partner.ts               # Partner admin, roles, billing (partner/org only)
│   ├── alerts.ts                # Alert list, get, acknowledge, search
│   ├── endpoints.ts             # Endpoint CRUD, scan, isolate, tamper, forensics
│   ├── endpoint-settings.ts     # Installer, web control, exploit mitigation, IPS, etc.
│   ├── endpoint-migrations.ts   # Migration jobs, software packages
│   ├── health.ts                # Account health, gap analysis
│   ├── directory.ts             # Users, user groups, group membership
│   ├── admin-management.ts      # Admin CRUD, roles, permission sets
│   ├── policies.ts              # Policy CRUD, clone
│   ├── groups.ts                # Endpoint group CRUD, membership
│   ├── exclusions.ts            # Scanning exclusions, allowed/blocked items
│   ├── cases.ts                 # Investigation cases, detections, MITRE
│   ├── detections.ts            # Detection queries (async)
│   ├── siem.ts                  # SIEM events and alerts
│   ├── xdr.ts                   # XDR Data Lake queries (async)
│   ├── live-discover.ts         # Live Discover queries (async)
│   ├── firewall.ts              # Firewall CRUD, firmware, groups, threat feed
│   ├── email.ts                 # Quarantine, mailboxes, message actions
│   ├── mobile.ts                # Mobile devices, groups, actions, policies
│   ├── dns-protection.ts        # DNS locations
│   ├── cloud-security.ts        # Cloud security profiles, assets
│   ├── wifi.ts                  # Wi-Fi MAC filtering
│   └── user-activity.ts         # User attestations
└── types/sophos.ts              # Sophos API response types

安全

• 凭据仅从环境变量中读取，从不记录
• JWT令牌保存在内存中，并自动刷新
• HTTP服务器绑定到 127.0.0.1 （仅限本地主机）
• 写动作有 destructiveHint 注释，以便客户端可以警告用户
• 合作伙伴/组织呼叫者需要明确 tenant_id 每次通话

许可证

麻省理工学院