Blumira

Blumira MCP サーバー

Blumira SIEM プラットフォームのデータと操作への構造化アクセスを AI アシスタントに提供する、Model Context Protocol（MCP） サーバーです。

注記： このプロジェクトは Wyre Technology がメンテナンスしています。

クイックスタート

Claude Desktop — ダウンロードして開くだけです。

1. 最新リリースから blumira-mcp.mcpb をダウンロードします
2. ファイルを開きます（ダブルクリックするか、Claude Desktop にドラッグします）
3. プロンプトが表示されたら、Blumira JWT トークンを入力します

ターミナルも JSON の編集も Node.js のインストールも不要です。

Claude Code（CLI）：

claude mcp add blumira-mcp \
  -e BLUMIRA_JWT_TOKEN=your-jwt-token \
  -- npx -y github:WYRE-AI/blumira-mcp

Docker を使う方法とソースからインストールする方法については、インストールを参照してください。

機能

• 🔌 MCP プロトコル準拠：MCP リソースとツールを完全にサポートします
• 🛡️ SIEM を幅広くカバー：検出結果、エージェント／デバイス、ユーザー、解決、MSP アカウント管理に関するツールを提供します
• 🔍 決定木によるナビゲーション：blumira_navigate から各ドメインを探索し、その後、ドメイン固有のツールを動的に読み込みます
• 🏢 MSP マルチテナント対応：アカウント間で検出結果、エージェント、ユーザーを管理するための MSP エンドポイントを幅広くサポートします
• 🔒 安全な認証：JWT トークンまたは API キー（pax8ApiTokenV1）による認証に対応します
• 🌐 2 種類のトランスポート：stdio（ローカル）と HTTP Streamable（リモート／Docker）の両方のトランスポートに対応します
• 📦 MCPB パッケージ：MCP Bundle により、デスクトップクライアントにワンクリックでインストールできます
• 🐳 Docker 対応：HTTP トランスポートとヘルスチェックを備えたコンテナデプロイが可能です
• ⚡ レート制限：組み込みのレートリミッターが Blumira API の制限を順守します
• 🔎 高度なフィルタリング：.eq、.in、.gt、.lt、.contains、.regex および否定演算子に対応します

インストール

オプション 1：MCPB Bundle（Claude Desktop）

最も簡単な方法です。ターミナルも JSON の編集も Node.js のインストールも不要です。

1. 最新リリースから blumira-mcp.mcpb をダウンロードします
2. ファイルを開きます（ダブルクリックするか、Claude Desktop にドラッグします）
3. プロンプトが表示されたら、Blumira JWT トークンを入力します

**Claude Code（CLI）**の場合は、次のコマンドを実行します。

claude mcp add blumira-mcp \
  -e BLUMIRA_JWT_TOKEN=your-jwt-token \
  -- npx -y github:WYRE-AI/blumira-mcp

オプション 2：Docker

docker compose up

CONDUIT_S2S_SECRET が設定されるまで、Compose は起動しません。Docker のデプロイを参照してください。

または、ビルド済みイメージをプルします。

# Generate the secret first: openssl rand -hex 32
docker run -d \
  -e CONDUIT_S2S_SECRET \
  -e BLUMIRA_JWT_TOKEN \
  -e AUTH_MODE=env \
  -p 127.0.0.1:8080:8080 \
  ghcr.io/wyre-ai/blumira-mcp:latest

イメージのデフォルトは AUTH_MODE=gateway で、コンテナ内では 0.0.0.0 にバインドします。CONDUIT_S2S_SECRET に実際のシークレットが設定されていない場合（空の値や replace-with-a-real-secret などの既知のプレースホルダーの場合）、HTTP は起動を拒否し、ゼロ以外の終了コードで終了します。ポートは（上記のように）127.0.0.1 に公開してください。ゲートウェイモードでは、各 /mcp リクエストにベンダーの認証情報を送信します（X-Blumira-Client-ID と X-Blumira-Client-Secret、または X-Blumira-JWT-Token）。サーバーは環境変数の認証情報にフォールバックしません。BLUMIRA_JWT_TOKEN を使用するシングルテナントのコンテナの場合に限り、AUTH_MODE=env を設定してください。

すべての /mcp リクエストには X-Gateway-S2S も必要です。検証処理は src/s2s-verify.ts の verifyS2sHeader です。ヘッダーの値は t=<unix seconds>,v1=<hex> で、CONDUIT_S2S_SECRET をキーとして、文字列 t=<unix seconds> をそのまま HMAC-SHA256 でハッシュ化した値を 16 進数で指定します（小文字の 16 進数 64 文字）。タイムスタンプはサーバーの時計から 300 秒以内である必要があります。ヘッダーがないか無効な場合、ベンダーの認証情報を読み取る前に HTTP 401 が返されます。

TS=$(date +%s)
SIG=$(printf 't=%s' "$TS" | openssl dgst -sha256 -hmac "$CONDUIT_S2S_SECRET" -hex | awk '{print $NF}')
curl -sS http://127.0.0.1:8080/mcp \
  -H 'Content-Type: application/json' \
  -H 'Accept: application/json, text/event-stream' \
  -H "X-Gateway-S2S: t=${TS},v1=${SIG}" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

AUTH_MODE=env の場合、この署名付きリクエストではコンテナの BLUMIRA_JWT_TOKEN を使用します。AUTH_MODE=gateway の場合は、X-Blumira-JWT-Token、または X-Blumira-Client-ID と X-Blumira-Client-Secret も追加してください。

リクエストに署名できないスタンドアロンのローカル利用では、MCP_ALLOW_INSECURE_DEV=1 を設定し、CONDUIT_S2S_SECRET は設定しないでください。起動時に警告がログに記録され、S2S チェックが省略され、127.0.0.1 のみをバインドします。イメージでは MCP_HTTP_HOST=0.0.0.0 が設定されているため、このバイパスを使用する場合は -e MCP_HTTP_HOST=127.0.0.1 も指定する必要があります。それ以外のバインドアドレスでは起動が拒否されます。このポートをループバック以外に公開しないでください。

オプション 3：ソースから

git clone https://github.com/WYRE-AI/blumira-mcp.git
cd blumira-mcp
npm ci
npm run build

設定

変数	説明	デフォルト
BLUMIRA_JWT_TOKEN	認証用の JWT トークン（stdio と AUTH_MODE=env）	—
MCP_TRANSPORT	トランスポートモード（stdio または http）	stdio
MCP_HTTP_PORT	HTTP サーバーのポート	8080
MCP_HTTP_HOST	HTTP サーバーがバインドするインターフェース	127.0.0.1
CONDUIT_S2S_SECRET	HTTP に必須です。/mcp の X-Gateway-S2S に対して検証する HMAC シークレットです。openssl rand -hex 32 で生成してください。空の場合、または既知のプレースホルダーの場合、HTTP サーバーはエラーをログに記録し、ゼロ以外の終了コードで終了します。この値がログに記録されることはありません。	—
MCP_ALLOW_INSECURE_DEV	1 に設定すると、CONDUIT_S2S_SECRET なしで HTTP を起動します。警告をログに記録し、S2S を強制せず、127.0.0.1 のみをバインドします。ループバック以外の MCP_HTTP_HOST では起動が拒否されます。ローカル開発専用です。	未設定
AUTH_MODE	env はプロセス環境の認証情報を使用します（stdio とシングルテナントの HTTP）。gateway はリクエストごとのベンダーヘッダーを必須とし、環境変数にフォールバックしません。Docker イメージと Compose ファイルのデフォルトは gateway です。	未設定時は env、Docker と Compose では gateway
LOG_LEVEL	ログレベル（debug、info、warn、error）	info

/health と /healthz は認証なしで利用でき、認証情報を読み取りません。stdio トランスポートでは CONDUIT_S2S_SECRET を使用しません。

ドメイン

サーバーは決定木ナビゲーションを使用します。まず blumira_navigate を使ってドメインを選択してください。

ドメイン	ツール
findings	検出結果の一覧表示、検出結果の取得、検出結果の詳細取得、検出結果の解決、担当者の割り当て、コメントの一覧表示／追加
agents	デバイスの一覧表示、デバイスの取得、エージェントキーの一覧表示、エージェントキーの取得
users	ユーザーの一覧表示
resolutions	利用可能な解決方法の一覧表示
msp	アカウントの一覧表示／取得、検出結果の一覧表示／取得／解決、担当者の割り当て、コメント、デバイス／キーの一覧表示、ユーザーの一覧表示

フィルタリング

Blumira は、一覧表示エンドポイントで高度なクエリフィルタリングをサポートしています。

status.eq=10              # Exact match
severity.in=HIGH,CRITICAL # Multiple values
created_at.gt=2026-01-01  # Greater than
name.contains=malware     # Substring match
!status.eq=30             # Negation

フィルターはツールの入力パラメーターとして渡してください。クエリー文字列の構築はサーバーが処理します。

Docker によるデプロイ

.env.example を .env にコピーし、CONDUIT_S2S_SECRET を含む認証情報を設定してください。この変数が設定されていない場合、Compose は起動せず、HTTP ポートは 127.0.0.1 のみに公開されます。

cp .env.example .env
# Edit .env with your Blumira JWT token and CONDUIT_S2S_SECRET
docker compose up -d

開発

npm ci
npm run build       # Build the project
npm run dev         # Watch mode
npm run test        # Run tests
npm run lint        # Type-check
npm run clean       # Remove dist/

コントリビューション

ガイドラインについては、CONTRIBUTING.md をご覧ください。

ライセンス

Apache 2.0 — Copyright WYRE Technology