VirusTotal с Microsoft Copilot через MCP

💡 Без установки? Используйте cloud.anythingmcp.com напрямую. Войдите, нажмите Connectors → VirusTotal, вставьте учётные данные, создайте MCP API key, и готово. Без Docker, без git clone, без локального сервера.

VirusTotal + Microsoft Copilot

Разведка угроз из VirusTotal API v3: отчёты по файлам по хешу, отчёты по URL, доменам и IP примерно от 70 движков, поиск, связи между индикаторами, поведение в песочнице и MITRE ATT&CK, комментарии и голоса сообщества, повторные анализы и, после включения администратором, сканирование URL.

Предварительные требования

Полные инструкции по настройке встроены в коннектор (видны в магазине при выборе коннектора). Требуемые переменные окружения:

VIRUSTOTAL_API_KEY

Шаг 1 — Получите учётные данные

Настройка занимает около 2 минут. Нужен аккаунт VirusTotal; API-ключ сообщества бесплатный.

1. Бесплатно зарегистрируйтесь в VirusTotal Community на https://www.virustotal.com/gui/join-us и подтвердите email.
2. Откройте свой API-ключ на https://www.virustotal.com/gui/my-apikey и вставьте его в VIRUSTOTAL_API_KEY. Он состоит из 64 строчных шестнадцатеричных символов и передаётся в заголовке x-apikey.
3. Установите коннектор и запустите virustotal_list_popular_threat_categories: лёгкий вызов, который подтверждает ключ.

Публичный или Premium-ключ: бесплатный ключ даёт 4 запроса в минуту и 500 в день, а условия VirusTotal запрещают использовать публичный API в коммерческих продуктах и рабочих процессах компаний. У Premium-ключей таких ограничений нет, и они открывают virustotal_intelligence_search, больше связей и больше контекста. Дневные квоты обнуляются в 00:00 UTC. virustotal_get_api_usage с вашим именем пользователя VirusTotal показывает дневное использование по эндпоинтам до 30 дней.

Конфиденциальность: каждый индикатор, который вы проверяете или отправляете, попадает в набор данных VirusTotal и становится виден сообществу. Никогда не отправляйте конфиденциальные URL, домены или хеши и те, что содержат персональные данные, например URL с токеном, ссылку для сброса пароля или внутреннее имя хоста.

Что он читает:

• Вердикты: virustotal_get_file_report (по SHA-256, SHA-1 или MD5, без загрузки), virustotal_get_url_report, virustotal_get_domain_report и virustotal_get_ip_report: статистика обнаружений примерно 70 движков и блок-листов URL, вердикт каждого движка, репутация, голоса, теги и, в зависимости от объекта, тип и имена файла, конечный URL и редиректы, DNS-записи, WHOIS, регистратор, ASN и страна.
• virustotal_search принимает хеш, полный URL, домен, IP или тег комментария, например #phishing. С URL он возвращает отчёт по этому URL, это самый простой путь, если id URL неизвестен.
• Связи: virustotal_list_related_objects проходит по связи, например contacted_domains файла, resolutions или subdomains домена, communicating_files IP. virustotal_list_related_ids возвращает только id и намного компактнее. virustotal_get_resolution читает одно DNS-разрешение (id = IP, сразу за которым идёт домен, например 8.8.8.8dns.google).
• Песочницы: virustotal_get_file_behaviour_summary (процессы, файлы, ключи реестра, мьютексы, трафик DNS, IP и HTTP) и virustotal_get_file_mitre_attack (тактики и техники MITRE ATT&CK по каждой песочнице).
• Сообщество: virustotal_list_comments и virustotal_list_votes по одному объекту, virustotal_list_latest_comments по всему VirusTotal (фильтр вроде tag:malware), virustotal_get_comment для одного комментария.
• Только Premium: virustotal_intelligence_search с модификаторами поиска, например type:peexe positives:10+.

Что он записывает: virustotal_rescan запрашивает новый анализ файла, URL, домена или IP, уже известного VirusTotal, а virustotal_get_analysis читает результат (опрос каждые 15-60 секунд, пока status не станет completed). virustotal_add_comment публикует публичный комментарий от вашего аккаунта (слова с # становятся тегами), virustotal_add_vote отдаёт публичный голос harmless или malicious.

Отключены при установке: virustotal_scan_url и virustotal_delete_comment. Оба действия необратимы: отправленный URL со всем его содержимым навсегда становится доступен сообществу VirusTotal, а удалённый комментарий не вернуть. Администратор рабочего пространства включает их, когда они нужны команде. Если virustotal_scan_url включён, URL, который VirusTotal ещё не видел (404), можно отправить и прочитать результат через virustotal_get_analysis.

Идентификаторы URL: инструменты для URL принимают id URL, то есть URL в base64url без дополнения (https://example.com/ превращается в aHR0cHM6Ly9leGFtcGxlLmNvbS8) или SHA-256 канонического URL. data.id отчёта по URL и есть этот SHA-256; id анализа выглядит как u-<sha256>-<timestamp>. В сомнительных случаях ИИ использует virustotal_search с самим URL.

Форматы данных: ответы следуют JSON:API с data.id, data.type и data.attributes. last_analysis_stats считает движки по вердиктам (malicious, suspicious, harmless, undetected, timeout), last_analysis_results перечисляет категорию и результат каждого движка. reputation является оценкой сообщества, отрицательная плохо; total_votes считает голоса harmless и malicious. Даты указаны как Unix-время в секундах (UTC). Малое число обнаружений не доказывает, что объект безопасен: ИИ проверяет также дату анализа и связи. В отчётах по URL, доменам и IP опущены громоздкие поля, например HTTP-заголовки, cookies, HTML meta и полный HTTPS-сертификат; сертификаты доступны через связь historical_ssl_certificates.

Постраничный вывод: инструменты списков возвращают meta.cursor и links.next, пока есть ещё элементы; ИИ передаёт meta.cursor как cursor с тем же limit и останавливается, когда его нет.

Частые ошибки: 401 WrongCredentialsError или AuthenticationRequiredError означает неверный или отсутствующий ключ (или неподтверждённый email аккаунта), 403 ForbiddenError эндпоинт или связь только для Premium, 404 NotFoundError объект, который VirusTotal не видел, 409 AlreadyExistsError повторный голос, 429 QuotaExceededError минутная или дневная квота (подождите или перейдите на другой тариф), 400 InvalidArgumentError неправильно сформированный id.

Коннектор не загружает файлы и не скачивает образцы: файлы проверяются по хешу.

Шаг 2 — Установите адаптер

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Шаг 3 — Добавьте коннектор в Microsoft Copilot

URL вашего сервера: в AnythingMCP откройте MCP Servers → сервер, на котором находится этот коннектор, и скопируйте его URL (https://cloud.anythingmcp.com/mcp/…). Используйте его везде, где в этом руководстве указано YOUR_SERVER_ID.

Microsoft Copilot использует MCP-серверы через агентов, созданных в Copilot Studio: ты добавляешь AnythingMCP в агента как инструмент, а затем публикуешь агента в Microsoft 365 Copilot и Teams. Copilot Studio подключается из облака Microsoft по Streamable HTTP, который AnythingMCP поддерживает.

1. В Copilot Studio открой своего агента (или создай нового), перейди в Tools и выбери Add a tool → New tool → Model Context Protocol.
2. Укажи Server name (например, AnythingMCP), Server description, которое объясняет, что делает коннектор, и Server URL https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID. По описанию Copilot Studio решает, когда вызывать сервер.
3. В аутентификации выбери API key, установи Type в Header, укажи имя заголовка X-API-Key и нажми Create.
4. В окне Add tool выбери Create a new connection, вставь MCP API-ключ из AnythingMCP (MCP Servers → твой сервер → API keys) и нажми Add to agent.
5. Проверь в панели Test агента: попроси о том, для чего нужны инструменты VirusTotal.
6. Нажми Publish, затем Channels → Microsoft 365 and Microsoft Teams, оставь включённым Make agent available in Microsoft Copilot и нажми Add channel. See agent in Teams установит агента для тебя; в Microsoft 365 Copilot введи @ и выбери агента.

Хочешь, чтобы каждый входил под своей учётной записью? Вместо API-ключа выбери OAuth 2.0 → Dynamic discovery: каждый пользователь войдёт в AnythingMCP при первом вызове агентом.

Размещаешь сам? Используй публичный HTTPS-адрес своего экземпляра вместо https://cloud.anythingmcp.com. Copilot Studio подключается из облака Microsoft, поэтому localhost не подойдёт.

Доступные инструменты

Примеры запросов

• «Отмечен ли файл с SHA-256 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f как вредоносный? Покажи статистику обнаружений и метку угрозы.»
• «Проверь домен example-login-secure.com: что говорят движки, когда он создан и в какие IP разрешался?»
• «Какая репутация у IP 185.220.101.1, кому он принадлежит и какие файлы с ним связывались?»
• «Покажи поведение в песочнице и техники MITRE ATT&CK для этого хеша: 44d88612fea8a8f36de82e1278abb02f.»
• «Выведи последние комментарии сообщества с тегом phishing и кратко опиши, под какие бренды они маскируются.»

FAQ

Для какого Copilot это руководство? Для Microsoft 365 Copilot на работе — через агентов Copilot Studio. В приложении Microsoft Copilot для личных аккаунтов добавить свой MCP-сервер нельзя.

Что нужно? Рабочий аккаунт с доступом к Copilot Studio (лицензия или пробная версия), чтобы создать агента. Тем, кто будет пользоваться им в Microsoft 365 Copilot или Teams, нужен доступ к агенту: поделись им или попроси администратора опубликовать его для организации. Если в организации действуют политики данных для коннекторов Power Platform, они распространяются и на MCP-серверы.

Агент не вызывает инструменты. Проверь, что имя заголовка — ровно X-API-Key, а ключ относится к тому же MCP-серверу, что и URL, и сделай Server description конкретным: по нему Copilot Studio решает, когда вызывать сервер. После каждого изменения опубликуй агента заново; в открытом чате введи «start over», чтобы перейти на новую версию.

Следующие шаги

• Страница коннектора
• Подключить к Claude
• Подключить к ChatGPT
• Подключить к Cursor
• Подключить к Gemini
• Подключить к Meta Muse