AWS‑IReveal‑MCP

AWS‑IReveal‑MCP 是一个模型上下文协议（MCP）服务器，旨在为安全团队和事件响应者提供一个统一的接口，以便于使用对调查有用的 AWS 服务。通过将 AWS‑IReveal‑MCP 连接到任何 MCP 客户端（如 Claude Desktop 或 Cline），您可以在不离开由 LLM 驱动的工作区的情况下跨多个 AWS 服务调用查询和分析。

功能

AWS‑IReveal‑MCP 与以下 AWS 服务和功能集成：

• CloudTrail — API 活动的管理事件日志
• Amazon Athena — 对 CloudTrail 日志进行 SQL 查询
• CloudWatch — 操作日志和临时分析
• Amazon GuardDuty — 威胁检测和发现调查
• AWS Config — 资源配置历史和合规状态
• VPC Flow Logs — 用于取证分析的网络流量元数据
• Network Access Analyzer — 跨 SG/NACL/VPC 的可达性检查
• IAM Access Analyzer — 基于策略和资源的访问发现

这些服务共同使您能够：

• 追踪“谁在何时何地做了什么”（CloudTrail, Config）
• 检查详细的数据事件（Athena）
• 搜索和可视化日志（CloudWatch, VPC Flow Logs）
• 显示安全警报（GuardDuty, IAM Access Analyzer）
• 验证网络可达性和配置（Network Access Analyzer）

示例提示

• 分析 IP x.x.x.x 在过去 5 天内的活动
• 分析角色 sysadmin 在过去 24 小时内的活动
• 调查在过去 7 天内 us-west-2 区域中 CloudTrail 上的可疑活动
• 是否有包含 customers 名称的存储桶在过去 7 天内有任何数据事件？
• 调查与 Bedrock 相关的 CloudWatch 日志
• 提出针对过去 2 天内发生的高风险 GuardDuty 发现的修复建议
• 识别不符合规范的资源，解释违反的规则，并提出修复建议

安装

先决条件

• Python 3
• MCP Python SDK (mcp[cli])
• boto3 (AWS SDK for Python)
• 配置好的 AWS 凭证

配置

将以下配置添加到您的 MCP 客户端设置文件中：

{
"mcpServers": {
"aws-ireveal": {
"command": "uv",
"args": [
"run",
"/path/to/aws-ireveal-mcp/server.py"
],
"env": {
"AWS_PROFILE": "<YOUR_PROFILE>"
}
}
}
}