falcon-mcp

falcon-mcp-extended

メモ

これはCrowdStrikeの公式falcon-mcpサーバー（MITライセンス）のコミュニティ拡張です。 公式の厳選されたツールセットに、106個の自動生成APIラッパーモジュール（約904個の追加ツール）を追加し、CrowdStrike Falcon APIをほぼ完全にカバーします。このプロジェクトは、CrowdStrikeと提携しておらず、CrowdStrikeによる保守や推奨も受けていません。厳選されたSOCワークフローだけが必要な場合は公式サーバーを使用してください。公式サーバーがまだ公開していないAPIが必要な場合は、このプロジェクトを使用してください。

SOCアナリストおよびセキュリティエンジニア向け： CrowdStrike、チケット管理システム、メモの間でタブを切り替えるのはやめましょう。Claudeにアラートのトリアージ、プロセスツリーの取得、ハッシュが他のホストでも実行されたかの確認、インシデント対応メモの作成を依頼できます。すべて1つの会話で完結します。

falcon-mcp-extendedは、Claudeを含むAIエージェントにCrowdStrike Falconプラットフォームへの直接的かつ構造化されたアクセスを提供し、インテリジェントなセキュリティ運用を実現するModel Context Protocol（MCP）サーバーです。

できること

このサーバーはAIアシスタントとCrowdStrike Falconプラットフォームをつなぎ、SOCアナリストが自然言語で質問し、Falconの最新データに基づいた回答を得られるようにします。Falconの検知、調査、対応、インテリジェンス機能をMCPツールとして公開するため、AIエージェントは検知を検索し、挙動をたどって調査し、ホストを隔離し、脅威インテリジェンスを照会できます。すべて1つの会話から実行できます。対話型のSOCワークフローと自動化されたセキュリティパイプラインの両方を想定して設計されており、MSSP Flight Controlをサポートするため、コンソールを切り替えずにマルチテナント環境を照会できます。

公式サーバーに追加される機能

レイヤー	モジュール数	ツール数の概算	デフォルトで有効
厳選されたモジュール（上流版および追加分）	50	~392	はい
自動生成されたAPIラッパー（gen_*）— このプロジェクトによる追加分	106	約904個追加	いいえ（オプトイン）

デフォルトモードでは厳選されたレイヤー（約392個のツール）が公開されます。このレイヤーは、説明がわかりやすく使いやすいツールで、主要なSOCワークフローをすべてカバーします。自動生成レイヤー全体（合計約1,296個のツール）は、完全なAPIカバレッジを実現するためにFALCON_MCP_ENABLE_GENERATED=1で有効にできます。対象には、Message Center、ODSスキャン、対応／コンテンツ／デバイス制御ポリシー、インストールトークン、MalQuery、FalconX Sandbox、QuickScan Pro、サンプルのアップロード、FileVantage、Falcon Complete Dashboard、クラウド登録（AWS／Azure／GCP／OCI）、Kubernetesアドミッションコントロール、コンテナイメージ／アラート／検知、ネットワークスキャン、NGSIEM管理、ナレッジベースなど、さらに多くの機能が含まれます。

特長

• EDR テレメトリ — 検知、挙動、インシデントを検索し、プロセス実行ツリーやコマンドラインのアクティビティを詳しく調査します
• リアルタイム対応（RTR） — RTR セッションを初期化し、読み取り専用のトリアージコマンド（ps、netstat、filehash、reg query）を実行して、安全性のゲートを設定したうえで、アクティブな対応担当者向けコマンドや管理者コマンドを実行します
• 脅威インテリジェンス — 脅威アクターを調査し、CrowdStrike のインジケーターを照会して、MITRE ATT&CK レポートを取得し、インテリジェンスレポートを検索します
• カスタム IOC 管理 — カスタム侵害指標を検索、作成、削除し、IOC ウォッチリストを管理します
• 脆弱性管理（Spotlight） — ホストごとの CVE への露出を照会し、深刻度または CVE ID で絞り込み、脆弱性評価を表示します
• クラウドセキュリティ — Kubernetes コンテナの可視化、コンテナイメージの脆弱性、CSPM アセットインベントリ、サーバーレス関数の脆弱性スキャンに対応します
• ID 保護（IDP） — エンティティ調査と ID ベースの脅威分析を行います
• MSSP／Flight Control — 子 CID を一覧表示して対象に指定し、ツールごとに member_cid を渡すことで、任意のクエリを特定の管理対象テナントに限定できます
• 次世代 SIEM（NGSIEM） — Falcon NGSIEM に対して CQL クエリを実行し、ログベースの調査を行います
• ホスト管理 — ホストインベントリ、ログイン履歴、ネットワークアドレス履歴、デバイスグループ、オンライン状態を照会します
• ファイアウォールとカスタム IOA — ファイアウォールルールと挙動検知ルールグループを検索、管理します
• インシデント管理 — ホスト間のインシデントを相関付け、ステータスを更新し、調査メモを追加します
• スケジュール済みレポート — Falcon のスケジュール済みレポート出力を一覧表示、管理、ダウンロードします
• 安全性のゲート — 読み取り専用モードでは登録時に変更を伴うすべてのツールが無効になります。別途設定する破壊的操作ポリシーでは、ホストの隔離、RTR の実行、アカウントレベルの削除を制御します

前提条件

• Python 3.11 以降
• 使用するモジュールに適したスコープが設定された CrowdStrike Falcon API 認証情報（Client ID と Client Secret）
• uv（推奨）または pip

インストール

重要

正しいパッケージ名は falcon-mcp-extended です。falcon-mcp を pip install しないでください。これは CrowdStrike の公式パッケージで、拡張モジュールレイヤーは含まれていません。

PyPI から（推奨）

pip install falcon-mcp-extended

または uv を使用します：

uv pip install falcon-mcp-extended

ソースから

git clone https://github.com/rijul170/falcon-mcp.git
cd falcon-mcp
uv sync --all-extras
uv run falcon-mcp

GitHub から uvx を直接使用（クローン不要）

uvx --from git+https://github.com/rijul170/falcon-mcp falcon-mcp

GitHub から pip を使用

pip install git+https://github.com/rijul170/falcon-mcp

設定

すべての設定は環境変数（または作業ディレクトリ内の .env ファイル）で行います。CLI フラグはすべての環境変数に対応しており、両方が設定されている場合は CLI フラグが優先されます。

変数	必須	説明	例
FALCON_CLIENT_ID	必須	CrowdStrike API クライアント ID	abc123def456
FALCON_CLIENT_SECRET	必須	CrowdStrike API クライアントシークレット	your-client-secret
FALCON_BASE_URL	必須	お使いのリージョンの API エンドポイント URL	https://api.crowdstrike.com
FALCON_MEMBER_CID	任意	MSSP Flight Control のデフォルトの子 CID。このテナントをすべてのクエリの対象にします	ABC123DEF456GHI789
FALCON_MCP_TRANSPORT	任意	トランスポートプロトコル：stdio、sse、または streamable-http（デフォルト：stdio）	streamable-http
FALCON_MCP_HOST	任意	HTTP トランスポートのバインド先ホスト（デフォルト：127.0.0.1）	0.0.0.0
FALCON_MCP_PORT	任意	HTTP トランスポートのバインド先ポート（デフォルト：8000）	8000
FALCON_MCP_MODULES	任意	有効にするモジュールのカンマ区切りリスト。すべて有効にする場合は省略します	detections,incidents,intel
FALCON_MCP_ENABLE_GENERATED	任意	1 に設定すると、106 個すべての自動生成モジュール（合計約 1,296 個のツール）を読み込みます	1
FALCON_MCP_READONLY	任意	true に設定すると、起動時にすべての変更を伴うツールを無効にします	true
FALCON_MCP_ALLOW_DESTRUCTIVE	任意	true に設定すると、すべての破壊的なツールを有効にします。または、許可する特定のツール名をカンマ区切りで指定できます	falcon_perform_host_action,falcon_execute_rtr_active_responder_command
FALCON_MCP_API_KEY	任意	HTTP トランスポートでの x-api-key ヘッダー認証用 API キー	your-api-key
FALCON_MCP_STATELESS_HTTP	任意	true に設定すると、水平スケールするデプロイ向けにステートレス HTTP モードを有効にします	true
FALCON_MCP_DEBUG	任意	true に設定すると、詳細なデバッグログを有効にします	true

リージョンのベース URL：

リージョン	ベース URL
US-1	https://api.crowdstrike.com
US-2	https://api.us-2.crowdstrike.com
EU-1	https://api.eu-1.crowdstrike.com
GOV-1	https://api.laggar.gcw.crowdstrike.com

Claude Code との統合

Claude Code や、永続的なサーバー接続をサポートするその他の AI 開発環境には、HTTP モード（streamable-http）を推奨します。

手順 1 — サーバーを起動します：

FALCON_CLIENT_ID=your-client-id \
FALCON_CLIENT_SECRET=your-client-secret \
FALCON_BASE_URL=https://api.crowdstrike.com \
FALCON_MCP_TRANSPORT=streamable-http \
uv run falcon-mcp

手順 2 — .claude/settings.json（プロジェクト用）または ~/.claude/settings.json（グローバル用）に追加します：

{
  "mcpServers": {
    "falcon-mcp": {
      "type": "http",
      "url": "http://localhost:8000/mcp"
    }
  }
}

API キーで保護されたデプロイの場合は、ヘッダーを追加します：

{
  "mcpServers": {
    "falcon-mcp": {
      "type": "http",
      "url": "http://localhost:8000/mcp",
      "headers": {
        "x-api-key": "your-api-key"
      }
    }
  }
}

Claude Desktop との統合

Claude Desktop には Stdio モードが最適です。認証情報は MCP サーバーの設定に直接渡します。

{
  "mcpServers": {
    "falcon-mcp": {
      "command": "uvx",
      "args": ["--from", "git+https://github.com/rijul170/falcon-mcp", "falcon-mcp"],
      "env": {
        "FALCON_CLIENT_ID": "your-client-id",
        "FALCON_CLIENT_SECRET": "your-client-secret",
        "FALCON_BASE_URL": "https://api.crowdstrike.com"
      }
    }
  }
}

認証情報を設定に埋め込まず、.env ファイルから読み込むには：

{
  "mcpServers": {
    "falcon-mcp": {
      "command": "uvx",
      "args": ["--env-file", "/path/to/.env", "--from", "git+https://github.com/rijul170/falcon-mcp", "falcon-mcp"]
    }
  }
}

Docker

付属の Dockerfile からイメージをローカルでビルドします：

git clone https://github.com/rijul170/falcon-mcp.git
cd falcon-mcp
docker build -t falcon-mcp-extended .

# Run with a .env file (stdio transport)
docker run -i --rm --env-file /path/to/.env falcon-mcp-extended

# Run with streamable-http transport
docker run --rm -p 8000:8000 --env-file /path/to/.env \
  falcon-mcp-extended --transport streamable-http --host 0.0.0.0

MSSP／マルチテナントでの使用

このサーバーは CrowdStrike Flight Control 環境を標準でサポートしています。

デフォルトのテナント指定： FALCON_MEMBER_CID を設定すると、ほかの設定を変更せずに、すべてのクエリを特定の子 CID にルーティングできます：

export FALCON_MEMBER_CID="CHILD_CID_HERE"

リクエストごとのテナント指定： member_cid パラメーターを受け取るすべてのツールでは、呼び出し時にデフォルト値を上書きできます。これにより、サーバーを再起動せずに、AI エージェントが 1 つのセッション内で複数の子テナントをクエリできます：

「テナント ABC123 で重大な検知を検索し、テナント XYZ789 と比較してください。」

Flight Control モジュール： flight_control モジュールには、すべての子アカウントの列挙、CID グループとユーザーグループの一覧表示、MSSP ロールの割り当てのクエリ、グループメンバーシップの管理を行うツールが用意されています。

MSSP API スコープ： 親 CID で Flight Control API スコープを有効にする必要があります。親を通じてクエリする場合、子 CID の API キーは必要ありません。

利用可能なモジュール

モジュール	主な機能
alerts	すべての Falcon アラートタイプにわたる統合アラートを検索、管理します
detections	EDR 検知を検索、分析します。挙動の詳細とプロセスツリーを取得します
incidents	セキュリティインシデントを照会、関連付けます。ステータスを更新し、調査メモを追加します
hosts	ホストインベントリを検索します。ログイン履歴、ネットワークアドレス履歴、オンライン状態を取得します
intel	脅威アクターとマルウェアファミリーを調査します。IOC インテリジェンスを照会し、MITRE ATT&CK レポートを取得します
ioc	カスタム侵害指標を検索、作成、削除します
rtr	RTR セッションを初期化します。読み取り専用、アクティブレスポンダー、管理者コマンドを実行し、RTR スクリプトを管理します
spotlight	ホストまたは CVE ID で脆弱性の検出結果を照会します。評価ロジックと脆弱性のメタデータにアクセスします
cloud	Kubernetes コンテナーの可視化、コンテナーイメージの脆弱性、CSPM アセットインベントリ
idp	ID エンティティの調査と ID 保護分析
flight_control	MSSP Flight Control：子アカウント、CID グループ、ユーザーグループ、MSSP ロールを一覧表示します
ngsiem	Falcon Next-Gen SIEM に対して CQL クエリを実行します
filevantage	ファイル整合性監視 — FIM ポリシーの割り当てと変更イベントを照会します
discover	アプリケーションインベントリの検索、管理対象外および未承認アセットの検出
sensor_usage	センサーの導入状況と使用状況のデータにアクセスし、分析します
threat_graph	グラフベースの IOC ピボット：指定したハッシュを実行したホストや IP に接続したホストを特定します
host_groups	デバイスグループを管理します。ホストグループのメンバーシップを作成、更新、照会します
firewall	ファイアウォールルールとルールグループを検索、管理します
custom_ioa	カスタム IOA の挙動検知ルールとルールグループを作成、管理します
serverless	サーバーレス関数の脆弱性を検索します
scheduled_reports	スケジュールされたレポートの実行を一覧表示、管理、ダウンロードします

さらに、Falcon API の残りの範囲をカバーする、オプトイン方式の gen_* モジュールが 106 個あります（FALCON_MCP_ENABLE_GENERATED=1 で有効化）。各ツールの説明には、必要な OAuth2 API スコープが記載されています。

SOC クイックスタート

サーバーを起動して Claude に接続すると、すぐに調査を開始できます。プロンプトの例：

新しい検知をトリアージする：

「過去 24 時間の新しい重大および高重大度の検知を検索し、上位 5 件を要約してください。」

特定の検知を調査する：

「検知 ID abc123 の完全なプロセスツリーとコマンドラインの詳細を取得してください。」

侵害されたホストを封じ込める：

「ホスト WORKSTATION-42 を封じ込め、IR-2025-001 タグ付けグループに追加してください。」

IOC を使って脅威ハンティングする：

「環境内でハッシュ d41d8cd98f00b204e9800998ecf8427e を実行したホストはどれですか？タイムラインを表示してください。」

MSSP のテナント横断アラート概要：

「子テナント ABC123 と XYZ789 全体の未解決の重大アラートをすべて一覧表示し、同じ手法を共有するものがあればフラグを付けてください。」

脆弱性の優先順位付け：

「インターネットに公開されているホストに影響する、CVSS スコアが 9.0 を超える重大な CVE をすべて表示してください。」

macOS の永続化（launchd）

macOS でサーバーを永続的なバックグラウンドサービスとして実行するため、examples/launchd/ ディレクトリに launchd plist の例が用意されています。テンプレートと設定に関する注意事項をご確認ください。

クラウドへのデプロイ

• Amazon Bedrock AgentCore
• Google Cloud Run / Vertex AI

セキュリティに関する考慮事項

読み取り専用モード： 書き込みアクセスが不要な環境では、FALCON_MCP_READONLY=true を設定してください。これにより、変更を伴うすべてのツールが登録時に抑制されます。何を要求された場合でも、AI エージェントに公開されることはありません。

破壊的操作の制限： 書き込みが有効な場合でも、破壊的と分類されたツール（ホストの封じ込め、RTR コマンドの実行、アカウント単位の削除）は、デフォルトで抑制されます。FALCON_MCP_ALLOW_DESTRUCTIVE を使って明示的に有効化してください。true を設定すると約 119 個すべての破壊的ツールが有効になるため、特定のツール名をカンマ区切りで指定する方法を推奨します。

# Enable only host containment and RTR active responder
FALCON_MCP_ALLOW_DESTRUCTIVE=falcon_perform_host_action,falcon_batch_execute_active_responder_command

API 認証情報のスコープ設定： このサーバー専用の Falcon API クライアントを作成し、ユースケースに必要なスコープのみを付与してください。管理者レベルの API キーを使い回さないでください。各ツールの docstring に、必要な API スコープが記載されています。

認証情報の保管： ソース管理にコミットする MCP 設定ファイルに API 認証情報を埋め込まないでください。環境変数、リポジトリのルートディレクトリ外に置いた .env ファイル、またはシークレットマネージャーを使用してください。複数ユーザーで共有する HTTP トランスポートでは、Falcon API 認証に加えて MCP レイヤーでも認証を必須にするため、FALCON_MCP_API_KEY を有効にしてください。

ネットワークへの公開： デフォルトの HTTP バインドアドレスは 127.0.0.1 です。信頼できないネットワーク環境で API キー認証を有効にせずに 0.0.0.0 にバインドしないでください。

コントリビューション

# Clone and install with dev dependencies
git clone https://github.com/rijul170/falcon-mcp.git
cd falcon-mcp
uv sync --all-extras

# Run tests
uv run pytest

バグ報告、機能リクエスト、プルリクエストは、GitHub Issues からお寄せください。公式サーバーにも有益な、厳選モジュールへの変更については、CrowdStrike/falcon-mcp にもアップストリームへのコントリビューションをご検討ください。

開発者向けドキュメント：

• モジュール開発ガイド — 新しい厳選モジュールの実装方法
• リソース開発ガイド — MCP リソースの実装方法
• 統合テストガイド — ライブ Falcon API に対するテストの実行方法
• エンドツーエンドテストガイド — E2E テストのセットアップと実行方法

サポート

これは独立したコミュニティ運営のプロジェクトです。CrowdStrike の公式製品ではなく、CrowdStrike によるサポートもありません。このプロジェクトについて CrowdStrike テクニカルサポートに問い合わせないでください。

質問、バグ報告、機能リクエストについては、GitHub Issue を作成してください。

謝辞

厳選モジュールレイヤー、サーバーコア、テストスイートは、CrowdStrike の公式プロジェクト falcon-mcp（MIT License、Copyright CrowdStrike）に由来します。このプロジェクトは、その基盤を自動生成 API カバレッジで拡張しています。CrowdStrike および Falcon のすべての商標は、CrowdStrike, Inc. に帰属します。

関連する MCP サーバー

以下の 3 つのサーバーは、セキュリティスタックの相互補完的なレイヤー（ネットワーク／ログ（Alert Logic）、エンドポイント保護（Sophos）、EDR／脅威インテリジェンス（CrowdStrike））をカバーします。フルスタックの AI 活用 SOC 運用には、これらを併用してください。

サーバー	プラットフォーム	主な機能
falcon-mcp-extended	CrowdStrike Falcon	EDR テレメトリ、RTR、脅威インテリジェンス、MSSP Flight Control、1,296 個のツール
sophos-central-mcp	Sophos Central	エンドポイントの隔離、Live Discover SQL、XDR、メール／ファイアウォール／DNS、334 個のツール
alertlogic-mcp	Alert Logic MDR	インシデント対応、SQL ログ検索、SOAR、脆弱性管理、473 個のツール

ライセンス

MIT — LICENSE を参照してください。元のコードの Copyright (c) は CrowdStrike、拡張部分の Copyright (c) は falcon-mcp-extended のコントリビューターに帰属します。