内容
<!-- mcp-name: io.github.rijul170/falcon-mcp -->
# falcon-mcp-extended
[](https://opensource.org/licenses/MIT)
[](https://spec.modelcontextprotocol.io/)
[](https://www.python.org/)
[](#what-this-adds-over-the-official-server)
[](https://github.com/rijul170/falcon-mcp)
[](https://github.com/rijul170/falcon-mcp/actions/workflows/python-test.yml)
[](https://pypi.org/project/falcon-mcp-extended/)
[](https://registry.modelcontextprotocol.io/v0/servers?search=io.github.rijul170/falcon-mcp)
> [!NOTE]
> **这是一个社区扩展的 CrowdStrike 官方 [falcon-mcp](https://github.com/CrowdStrike/falcon-mcp) 服务器** （MIT 许可）。它在官方精选工具集的基础上添加了 106 个自动生成的 API 包装模块（约 904 个额外工具），以实现几乎完整的 CrowdStrike Falcon API 覆盖率。该项目 **与 CrowdStrike 无关，不由 CrowdStrike 维护或支持**。如果您只需要精选的 SOC 工作流，请使用 [官方服务器](https://github.com/CrowdStrike/falcon-mcp)；如果您需要官方服务器尚未公开的 API 接口，请使用此项目。
**对于 SOC 分析师和安全工程师：** 停止在 CrowdStrike、票务系统和笔记之间切换。询问 Claude 以排查警报、拉取进程树、检查哈希值是否在其他主机上运行，并草拟 IR 笔记 — 所有操作都在一次对话中完成。
**falcon-mcp-extended** 是一个模型上下文协议（MCP）服务器，为 AI 代理（包括 Claude）提供直接、结构化的访问 CrowdStrike Falcon 平台，以实现智能安全操作。
## 功能
该服务器连接 AI 助手和 CrowdStrike Falcon 平台，使 SOC 分析师能够提出自然语言问题并获得由实时 Falcon 数据支持的答案。它将 Falcon 的检测、调查、响应和情报功能作为 MCP 工具公开，以便 AI 代理可以搜索检测结果、跟踪行为、控制主机和查询威胁情报 — 所有操作都可以在一次对话中完成。设计用于交互式 SOC 工作流和自动化安全管道，它支持 MSSP Flight Control，因此多租户环境可以在无需切换控制台的情况下查询。
## 新增功能
| 层 | 模块数量 | 近似工具数量 | 默认启用 |
| ------- | ------------- | ------------------------ | -------------------- |
| 精选模块（来自上游，及附加内容） | 50 | ~392 | 是 |
| 自动生成的 API 包装器（`gen_*`）— **此项目的添加** | 106 | ~904 额外 | 否（按需） |
默认模式公开精选层（~392 个工具），涵盖每个主要 SOC 工作流，并具有描述良好的、人机工程学的工具。可以通过设置 `FALCON_MCP_ENABLE_GENERATED=1` 启用完整的生成层（总共 ~1,296 个工具），以实现完整的 API 接口覆盖 — 包括消息中心、ODS 扫描、响应/内容/设备控制策略、安装令牌、MalQuery、FalconX 沙盒、QuickScan Pro、样本上传、FileVantage、Falcon 完整仪表盘、云注册（AWS/Azure/GCP/OCI）、Kubernetes 接入控制、容器镜像/警报/检测、网络扫描、NGSIEM 管理、知识库等。
## 特性
- **EDR 遥测** — 搜索检测结果、行为和事件；深入进程执行树和命令行活动
- **实时响应（RTR）** — 初始化 RTR 会话、运行只读故障排查命令（ps、netstat、filehash、reg query）和执行主动响应和管理员命令，并具有可配置的安全门
- **威胁情报** — 研究威胁行为者、查询 CrowdStrike 指标、检索 MITRE ATT&CK 报告和搜索情报报告
- **自定义 IOC 管理** — 搜索、创建和删除自定义妥协指标；管理 IOC 观察列表
- **漏洞管理（Spotlight）** — 按主机查询 CVE 暴露情况、按严重性或 CVE ID 过滤，并显示漏洞评估
- **云安全** — Kubernetes 容器可见性、容器镜像漏洞、CSPM 资产清单和无服务器函数漏洞扫描
- **身份保护（IDP）** — 实体调查和基于身份的威胁分析
- **MSSP / Flight Control** — 列出和目标子 CID；传递每个工具的 `member_cid` 以将查询范围限定为特定托管租户
- **下一代 SIEM（NGSIEM）** — 对 Falcon NGSIEM 执行 CQL 查询以进行基于日志的调查
- **主机管理** — 查询主机清单、登录历史、网络地址历史、设备组和在线状态
- **防火墙和自定义 IOA** — 搜索和管理防火墙规则和行为检测规则组
- **事件管理** —关联主机事件、更新状态和添加调查笔记
- **计划报告** — 列出、管理并下载 Falcon 计划报告输出
- **安全门** — 只读模式在注册时抑制所有变更工具；单独的破坏性策略控制主机遏制、RTR 执行和帐户级删除
## 先决条件
- Python 3.11 或更高版本
- CrowdStrike Falcon API 凭证（客户端 ID 和客户端密钥），并具有您打算使用的模块所需的适当范围
- [`uv`](https://docs.astral.sh/uv/) （推荐）或 `pip`
## 安装
> [!IMPORTANT]
> 正确的软件包名称是 **`falcon-mcp-extended`**。请勿 `pip install falcon-mcp` — 那是 CrowdStrike 的官方软件包，不包括扩展模块层。
### 从 PyPI（推荐）
```bash
pip install falcon-mcp-extended
```
或使用 uv：
```bash
uv pip install falcon-mcp-extended
```
### 从源码
```bash
git clone https://github.com/rijul170/falcon-mcp.git
cd falcon-mcp
uv sync --all-extras
uv run falcon-mcp
```
### 通过 uvx 直接从 GitHub（无需克隆）
```bash
uvx --from git+https://github.com/rijul170/falcon-mcp falcon-mcp
```
### 通过 pip 从 GitHub
```bash
pip install git+https://github.com/rijul170/falcon-mcp
```
## 配置
所有配置均通过环境变量（或工作目录中的 `.env` 文件）驱动。CLI 标志镜像每个环境变量，并在设置两者时优先。
| 变量 | 必需 | 描述 | 示例 |
| --- | --- | --- | --- |
| `FALCON_CLIENT_ID` | 必需 | CrowdStrike API 客户端 ID | `abc123def456` |
| `FALCON_CLIENT_SECRET` | 必需 | CrowdStrike API 客户端密钥 | `your-client-secret` |
| `FALCON_BASE_URL` | 必需 | 您所在区域的 API 端点 URL | `https://api.crowdstrike.com` |
| `FALCON_MEMBER_CID` | 可选 | MSSP Flight Control 的默认子 CID；针对所有查询的目标租户 | `ABC123DEF456GHI789` |
| `FALCON_MCP_TRANSPORT` | 可选 | 传输协议：`stdio`、`sse` 或 `streamable-http`（默认：`stdio`） | `streamable-http` |
| `FALCON_MCP_HOST` | 可选 | HTTP 传输的绑定主机（默认：`127.0.0.1`） | `0.0.0.0` |
| `FALCON_MCP_PORT` | 可选 | HTTP 传输的绑定端口（默认：`8000`） | `8000` |
| `FALCON_MCP_MODULES` | 可选 | 要启用的模块的逗号分隔列表；省略以启用所有模块 | `detections,incidents,intel` |
| `FALCON_MCP_ENABLE_GENERATED` | 可选 | 设置为 `1` 以加载所有 106 个自动生成的模块（总共 ~1,296 个工具） | `1` |
| `FALCON_MCP_READONLY` | 可选 | 设置为 `true` 以在启动时抑制所有变更工具 | `true` |
| `FALCON_MCP_ALLOW_DESTRUCTIVE` | 可选 | 设置为 `true` 以启用所有破坏性工具，或以逗号分隔的特定工具名称列表来选择启用 | `falcon_perform_host_action,falcon_execute_rtr_active_responder_command` |
| `FALCON_MCP_API_KEY` | 可选 | 用于 HTTP 传输的 `x-api-key` 头部身份验证的 API 密钥 | `your-api-key` |
| `FALCON_MCP_STATELESS_HTTP` | 可选 | 设置为 `true` 以为水平扩展部署启用无状态 HTTP 模式 | `true` |
| `FALCON_MCP_DEBUG` | 可选 | 设置为 `true` 以启用详细调试日志记录 | `true` |
**区域基准 URL：**
| 区域 | 基准 URL |
| -------- | ---------- |
| US-1 | `https://api.crowdstrike.com` |
| US-2 | `https://api.us-2.crowdstrike.com` |
| EU-1 | `https://api.eu-1.crowdstrike.com` |
| GOV-1 | `https://api.laggar.gcw.crowdstrike.com` |
## Claude 代码集成
对于 Claude Code 和其他支持持久服务器连接的 AI 开发环境，建议使用 HTTP 模式（streamable-http）。
**步骤 1 — 启动服务器：**
```bash
FALCON_CLIENT_ID=your-client-id \
FALCON_CLIENT_SECRET=your-client-secret \
FALCON_BASE_URL=https://api.crowdstrike.com \
FALCON_MCP_TRANSPORT=streamable-http \
uv run falcon-mcp
```
**步骤 2 — 添加到 `.claude/settings.json`（项目）或 `~/.claude/settings.json`（全局）：**
```json
{
"mcpServers": {
"falcon-mcp": {
"type": "http",
"url": "http://localhost:8000/mcp"
}
}
}
```
对于启用 API 密钥保护的部署，请添加头部：
```json
{
"mcpServers": {
"falcon-mcp": {
"type": "http",
"url": "http://localhost:8000/mcp",
"headers": {
"x-api-key": "your-api-key"
}
}
}
}
```
## Claude 桌面集成
_stdio 模式最适合 Claude 桌面。凭证直接在 MCP 服务器配置中传递。
```json
{
"mcpServers": {
"falcon-mcp": {
"command": "uvx",
"args": ["--from", "git+https://github.com/rijul170/falcon-mcp", "falcon-mcp"],
"env": {
"FALCON_CLIENT_ID": "your-client-id",
"FALCON_CLIENT_SECRET": "your-client-secret",
"FALCON_BASE_URL": "https://api.crowdstrike.com"
}
}
}
}
```
要从 `.env` 文件加载凭证而不是将它们嵌入到配置中：
```json
{
"mcpServers": {
"falcon-mcp": {
"command": "uvx",
"args": ["--env-file", "/path/to/.env", "--from", "git+https://github.com/rijul170/falcon-mcp", "falcon-mcp"]
}
}
}
```
## Docker
从包含的 Dockerfile 构建镜像：
```bash
git clone https://github.com/rijul170/falcon-mcp.git
cd falcon-mcp
docker build -t falcon-mcp-extended .
# 使用 .env 文件运行（stdio 传输）
docker run -i --rm --env-file /path/to/.env falcon-mcp-extended
# 使用 streamable-http 传输运行
docker run --rm -p 8000:8000 --env-file /path/to/.env \
falcon-mcp-extended --transport streamable-http --host 0.0.0.0
```
## MSSP / 多租户使用
服务器对 CrowdStrike Flight Control 环境具有一流的支持。
**默认租户目标：** 设置 `FALCON_MEMBER_CID` 以将所有查询路由到特定的子 CID，无需更改其他内容：
```bash
export FALCON_MEMBER_CID="CHILD_CID_HERE"
```
**按请求租户目标：** 每个接受 `member_cid` 参数的工具都可以在调用时覆盖默认设置。这允许 AI 代理在单个会话中查询多个子租户，无需重启服务器：
> "在租户 ABC123 中搜索关键检测结果，并与租户 XYZ789 进行比较。"
**Flight Control 模块：** `flight_control` 模块提供工具来枚举所有子帐户、列出 CID 组和用户组、查询 MSSP 角色分配和管理组 membership。
**MSSP API 范围：** 父 CID 必须启用 Flight Control API 范围。查询子 CID 时无需子 CID API 密钥。
## 可用模块
| 模块 | 关键功能 |
| -------- | ----------------- |
| `alerts` | 搜索和管理跨所有 Falcon 警报类型的统一警报 |
| `detections` | 查找和分析 EDR 检测结果；检索行为详细信息和进程树 |
| `incidents` | 查询和关联安全事件；更新状态和添加调查笔记 |
| `hosts` | 搜索主机清单；获取登录历史、网络地址历史和在线状态 |
| `intel` | 研究威胁行为者和恶意软件家族；查询 IOC 情报；检索 MITRE ATT&CK 报告 |
| `ioc` | 搜索、创建和删除自定义妥协指标 |
| `rtr` | 初始化 RTR 会话；执行只读、主动响应和管理员命令；管理 RTR 脚本 |
| `spotlight` | 按主机或 CVE ID 查询漏洞发现结果；访问评估逻辑和漏洞元数据 |
| `cloud` | Kubernetes 容器可见性；容器镜像漏洞；CSPM 资产清单 |
| `idp` | 身份实体调查和身份保护分析 |
| `flight_control` | MSSP Flight Control：列出子帐户、CID 组、用户组和MSSP 角色 |
| `ngsiem` | 对 Falcon Next-Gen SIEM 执行 CQL 查询 |
| `filevantage` | 文件完整性监控 — 查询 FIM 策略分配和变更事件 |
| `discover` | 应用程序清单搜索；未托管和非授权资产发现 |
| `sensor_usage` | 访问和分析传感器部署和使用数据 |
| `threat_graph` | 基于图的 IOC 关联：查找哪些主机运行了给定哈希或连接到 IP |
| `host_groups` | 管理设备组：创建、更新和查询主机组成员 |
| `firewall` | 搜索和管理防火墙规则和规则组 |
| `custom_ioa` | 创建和管理自定义 IOA 行为检测规则和规则组 |
| `serverless` | 搜索无服务器函数中的漏洞 |
| `scheduled_reports` | 列出、管理并下载计划报告执行结果 |
另外 106 个按需 `gen_*` 模块，涵盖剩余的 Falcon API 接口（启用后，`FALCON_MCP_ENABLE_GENERATED=1`）。每个工具的文档字符串都记录了所需的 OAuth2 API 范围。
## SOC 快速入门
服务器启动并连接到 Claude 后，您可以立即开始调查。示例提示：
**排查新检测结果：**
> "搜索过去 24 小时内新的关键和高严重性检测结果，并总结前 5 个。"
**调查特定检测结果：**
> "获取检测 ID abc123 的完整进程树和命令行详细信息。"
**遏制受损主机：**
> "隔离主机 WORKSTATION-42 并将其添加到 IR-2025-001 标记组。"
**按 IOC 搜索：**
> "哪些主机在我的环境中执行了哈希 d41d8cd98f00b204e9800998ecf8427e？显示时间线。"
**MSSP 跨租户警报摘要：**
> "列出子租户 ABC123 和 XYZ789 中所有开放的关键警报，并标记任何共享相同技术的警报。"
**漏洞优先级：**
> "显示影响具有互联网访问权限的主机的 CVSS 评分高于 9.0 的所有关键 CVE。"
## macOS 持久性（launchd）
要在 macOS 上将服务器作为持久后台服务运行，`examples/launchd/` 目录中提供了一个示例 launchd plist。参见模板和配置说明。
## 云部署
- [Amazon Bedrock AgentCore](docs/deployment/amazon_bedrock_agentcore.md)
- [Google Cloud Run / Vertex AI](docs/deployment/google_cloud.md)
## 安全考虑
**只读模式：** 对于不需要写入访问的环境，设置 `FALCON_MCP_READONLY=true`。此模式在注册时抑制所有变更工具 — 它们永远不会暴露给 AI 代理，无论提出什么请求。
**破坏性操作门控：** 即使启用写入，带注释为破坏性的工具（主机遏制、RTR 命令执行、帐户级删除）默认情况下也会被抑制。通过 `FALCON_MCP_ALLOW_DESTRUCTIVE` 显式启用它们。推荐的方法是指定一个逗号分隔的特定工具名称列表，而不是设置 `true`（这启用了所有 ~119 个破坏性工具）：
```bash
# 仅启用主机遏制和 RTR 主动响应
FALCON_MCP_ALLOW_DESTRUCTIVE=falcon_perform_host_action,falcon_batch_execute_active_responder_command
```
**API 凭证范围：** 为此服务器创建具有仅所需范围的专用 Falcon API 客户端。不要重用管理员级 API 密钥。每个工具的文档字符串记录了其所需的 API 范围。
**凭证存储：** 永远不要将 API 凭证嵌入到源控制中提交的 MCP 配置文件中。使用环境变量、存储库根目录之外的 `.env` 文件或机密管理器。对于跨用户共享的 HTTP 传输，启用 `FALCON_MCP_API_KEY` 以在 MCP 层要求身份验证，补充 Falcon API 身份验证。
**网络暴露：** 默认绑定地址为 `127.0.0.1`。不要在不受信任的网络环境中绑定到 `0.0.0.0`，而未启用 API 密钥身份验证。
## 贡献
```bash
# 克隆并安装开发依赖
git clone https://github.com/rijul170/falcon-mcp.git
cd falcon-mcp
uv sync --all-extras
# 运行测试
uv run pytest
```
错误报告、功能请求和拉取请求通过 [GitHub 问题](https://github.com/rijul170/falcon-mcp/issues) 欢迎。有关对精选模块的更改，这些更改也将使官方服务器受益，请考虑将它们上游贡献给 [CrowdStrike/falcon-mcp](https://github.com/CrowdStrike/falcon-mcp)。
其他开发者文档：
- [模块开发指南](docs/development/module_development.md) — 如何实现新的精选模块
- [资源开发指南](docs/development/resource_development.md) — 如何实现 MCP 资源
- [集成测试指南](docs/development/integration_testing.md) — 在实时 Falcon API 上运行测试
- [端到端测试指南](docs/development/e2e_testing.md) — 完整的端到端测试设置和执行
## 支持
这是一个独立的社区维护项目。它 **不是** 官方的 CrowdStrike 产品，不受 CrowdStrike 技术支持 — 请不要联系 CrowdStrike 技术支持询问此项目。
如有问题、错误报告和功能请求，请在 [GitHub 问题](https://github.com/rijul170/falcon-mcp/issues) 上提出。
## 致谢
精选模块层、服务器核心和测试套件源自 CrowdStrike 的官方 [falcon-mcp](https://github.com/CrowdStrike/falcon-mcp) 项目（MIT 许可，版权归 CrowdStrike 所有）。该项目通过自动生成的 API 覆盖范围扩展了该基础。所有 CrowdStrike 和 Falcon 商标归 CrowdStrike, Inc. 所有。
## 相关 MCP 服务器
这三个服务器涵盖了安全堆栈的互补层 — 网络/日志（Alert Logic）、端点保护（Sophos）和 EDR/威胁情报（CrowdStrike）。将它们一起使用，以实现基于 AI 的全栈安全运营。
| 服务器 | 平台 | 亮点 |
| -------- | ---------- | ------------ |
| [falcon-mcp-extended](https://github.com/rijul170/falcon-mcp) | CrowdStrike Falcon | EDR 遥测、RTR、威胁情报、MSSP Flight Control、1,296 个工具 |
| [sophos-central-mcp](https://github.com/rijul170/sophos-central-mcp) | Sophos Central | 端点隔离、Live Discover SQL、XDR、电子邮件/防火墙/DNS、334 个工具 |
| [alertlogic-mcp](https://github.com/rijul170/alertlogic-mcp) | Alert Logic MDR | 事件响应、SQL 日志搜索、SOAR、漏洞管理、473 个工具 |
## 许可证
MIT — 参见 [LICENSE](LICENSE)。原始代码版权 (c) CrowdStrike；扩展版权 (c) falcon-mcp-extended 贡献者。
MCP 配置
以下是此 MCP Server 的配置信息，可直接复制到 Cursor 或其他 MCP 客户端中使用。
mcp.json
连接信息
猜你喜欢
暂无推荐服务器