Thehive MCP

thehive-mcp

MCP（模型上下文协议）服务器 The Hive 安全事件响应平台。允许AI代理创建案例、管理警报、跟踪可观察对象、运行Cortex分析器和编排事件响应工作流。

经过测试 蜂巢5.4.11 具有完整的端到端验证（36个实时集成测试）。

特性

• 35工具 覆盖整个TheHive 5 API表面
• 个案管理 -创建、列出、获取、更新、关闭、删除、搜索、合并案例
• 警报管理 -创建、列出、获取、更新、升级到案例、删除警报
• 任务管理 -在案例中创建、列出、获取、更新任务
• 可观察的管理 -添加（单次+批量）、列出、获取、搜索可观察对象
• 任务日志 -添加和列出任务的日志条目
• 评论 -添加并列出案例评论
• 用户管理 -列出用户，获取当前用户信息
• Cortex集成 -列出分析器，运行分析器作业，获取作业结果
• 原始查询API -对复杂的搜索执行任意的TheWive查询DSL
• 案例模板 -列出用于创建案例的可用模板
• 状态 -健康检查、版本信息、功能
• 3个提示模板 -病例摘要、警报分流、事件响应工作流
• 3资源 -未结案例、新警报、当前用户

安装

npm install -g thehive-mcp

或者直接运行：

npx thehive-mcp

配置

设置环境变量：

克劳德桌面版

添加 ~/Library/Application Support/Claude/claude_desktop_config.json （macOS）或 %APPDATA%\Claude\claude_desktop_config.json （Windows）：

{
  "mcpServers": {
    "thehive": {
      "command": "thehive-mcp",
      "env": {
        "THEHIVE_URL": "http://your-thehive:9000",
        "THEHIVE_API_KEY": "your-api-key"
      }
    }
  }
}

克劳德代码

claude mcp add thehive \
  --env THEHIVE_URL=http://your-thehive:9000 \
  --env THEHIVE_API_KEY=your-api-key \
  -- thehive-mcp

添加 --scope user 使其可从任何目录访问，而不仅仅是当前项目。

开爪

如果你从源代码签出而不是npm安装的二进制文件运行，请指向 command/args 在建成 dist/index.js:

openclaw mcp set thehive '{
  "command": "node",
  "args": ["/absolute/path/to/thehive-mcp/dist/index.js"],
  "env": {
    "THEHIVE_URL": "http://your-thehive:9000",
    "THEHIVE_API_KEY": "your-api-key"
  }
}'

或者，使用全局npm安装：

openclaw mcp set thehive '{
  "command": "thehive-mcp",
  "env": {
    "THEHIVE_URL": "http://your-thehive:9000",
    "THEHIVE_API_KEY": "your-api-key"
  }
}'

然后重新启动OpenClaw网关，以便启动新服务器：

systemctl --user restart openclaw-gateway
openclaw mcp list   # confirm "thehive" is registered

爱马仕代理商

爱马仕代理商 从读取MCP配置 ~/.hermes/config.yaml 在...之下 mcp_servers 钥匙。添加条目：

mcp_servers:
  thehive:
    command: "thehive-mcp"
    env:
      THEHIVE_URL: "http://your-thehive:9000"
      THEHIVE_API_KEY: "your-api-key"

或者，当从源代码签出而不是全局npm安装运行时：

mcp_servers:
  thehive:
    command: "node"
    args: ["/absolute/path/to/thehive-mcp/dist/index.js"]
    env:
      THEHIVE_URL: "http://your-thehive:9000"
      THEHIVE_API_KEY: "your-api-key"

然后从Hermes会话中重新加载MCP：

/reload-mcp

Codex CLI

Codex CLI 通过注册MCP服务器 codex mcp add:

codex mcp add thehive \
  --env THEHIVE_URL=http://your-thehive:9000 \
  --env THEHIVE_API_KEY=your-api-key \
  -- thehive-mcp

或者，从源代码签出运行时：

codex mcp add thehive \
  --env THEHIVE_URL=http://your-thehive:9000 \
  --env THEHIVE_API_KEY=your-api-key \
  -- node /absolute/path/to/thehive-mcp/dist/index.js

Codex将条目写入 ~/.codex/config.toml 在...之下 [mcp_servers.thehive].通过以下方式进行验证：

codex mcp list

工具

案例（8个工具）

警报（6个工具）

任务（4个工具）

可观察对象（5个工具）

任务日志（2个工具）

评论（2个工具）

用户（2个工具）

Cortex（3个工具）

查询（1个工具）

模板（1个工具）

状态（1个工具）

提示模板

资源

发展

# Install dependencies
npm install

# Build
npm run build

# Run tests (unit, 68 tests)
npm test

# Run live integration tests (36 tests, requires TheHive instance)
THEHIVE_URL=http://your-thehive:9000 THEHIVE_API_KEY=your-key npx tsx scripts/live-test.ts

# Type check
npm run typecheck

# Development mode
THEHIVE_URL=http://your-thehive:9000 THEHIVE_API_KEY=your-key npm run dev

The Hive 5笔记

• 组织很重要。 这 admin org只有平台权限。创建一个单独的组织（例如“SOC”） org-admin 用户可进行完整案例/警报/任务/可观察访问。
• v5中的案例状态发生了变化。 关闭状态有：真阳性、假阳性、不确定、重复、其他。没有“已解决”状态。
• PATCH返回204。 更新操作不返回正文；客户端自动重新获取实体。
• 可观察的创建返回数组。 客户端以透明的方式处理此问题。批量创建使用 data 作为一个数组。
• Cortex连接器端点 生活在…之下 /api/connector/ 不 /api/v1/.
• description 是必需的 在创建案例和警报时。

许可证

麻省理工学院