Lacework Mcp Server

Lacework Alerts MCP 服务

一个基于 FastMCP 构建的 MCP（Model Context Protocol）服务，将 Lacework API v2 警报操作作为工具提供给 AI Agent 和大模型集成使用。

快速入门（新机器设置）

# 1. Clone the repo
git clone <repo-url>
cd lacework_mcp_server

# 2. Create a virtual environment (Python 3.10+)
python3 -m venv .venv
source .venv/bin/activate

# 3. Install dependencies
pip install -e .
# or manually:
# pip install fastmcp httpx

# 4. Configure Lacework credentials (pick one)

# Option A – Config file
cat > ~/.lacework.json <<'EOF'
{
  "account": "yourcompany.lacework.net",
  "keyId": "YOUR_ACCESS_KEY_ID",
  "secret": "YOUR_SECRET_KEY"
}
EOF

# Option B – Environment variables
export LACEWORK_ACCOUNT="yourcompany"
export LACEWORK_KEY_ID="YOUR_ACCESS_KEY_ID"
export LACEWORK_SECRET="YOUR_SECRET_KEY"

# Environment variables take precedence over the config file.

# 5. Run the server
python lacework_mcp_server.py

工具

工具	说明
list_alerts	列出可选时间范围内的警报（支持 2h、last 2 hours 等相对时间）
search_alerts	使用筛选条件（严重性、状态、警报类型）搜索警报，并支持灵活的时间输入（30m、last 2 hours、2024-06-01）
get_alert_details	获取特定警报的详细信息（Details、Investigation、Events、RelatedAlerts、Integrations、Timeline、ObservationTimeline）
get_alert_timeline	快捷方式——获取警报的时间线
get_alert_investigation	快捷方式——获取警报的调查详情
get_alert_entities	列出与警报相关的实体（机器、IP）
get_alert_entity_details	获取特定实体的增强上下文（VirusTotal、网络活动等）
post_alert_comment	在警报的时间线上发表评论
close_alert	使用原因代码关闭警报

运行

独立运行（stdio – 本地）

source .venv/bin/activate
python lacework_mcp_server.py

远程运行（SSE / Streamable HTTP）

在远程主机上运行服务，以便 AI Agent 通过 HTTP 连接并在每次请求中传递凭据：

# SSE transport (default host 0.0.0.0, port 8000)
python lacework_mcp_server.py --transport sse --port 8000

# Streamable HTTP transport
python lacework_mcp_server.py --transport streamable-http --host 0.0.0.0 --port 9000

远程运行时，调用方将 Lacework 凭据作为工具参数传递，而不是依赖服务端配置：

{
  "name": "search_alerts",
  "arguments": {
    "start_time": "last 2 hours",
    "severity": "Critical",
    "lacework_account": "mycompany",
    "lacework_key_id": "MY_KEY_ID",
    "lacework_secret": "MY_SECRET"
  }
}

所有三个凭据字段（lacework_account、lacework_key_id、lacework_secret）在每个工具中都是可选的。省略时，服务会回退到本地配置（环境变量 / ~/.lacework.json）。不同 Lacework 账户的客户端会被缓存，以便在多次调用间复用令牌。

搭配 Claude Desktop / VS Code 使用

将以下内容添加到 MCP 设置中（例如 ~/.claude/claude_desktop_config.json 或 .vscode/mcp.json）：

本地（存在 ~/.lacework.json）：

{
  "mcpServers": {
    "lacework": {
      "command": "/path/to/lacework_mcp_server/.venv/bin/python",
      "args": [
        "/path/to/lacework_mcp_server/lacework_mcp_server.py"
      ]
    }
  }
}

本地（不存在 ~/.lacework.json——通过环境变量传递凭据）：

{
  "mcpServers": {
    "lacework": {
      "command": "/path/to/lacework_mcp_server/.venv/bin/python",
      "args": [
        "/path/to/lacework_mcp_server/lacework_mcp_server.py"
      ],
      "env": {
        "LACEWORK_ACCOUNT": "yourcompany",
        "LACEWORK_KEY_ID": "YOUR_KEY_ID",
        "LACEWORK_SECRET": "YOUR_SECRET"
      }
    }
  }
}

远程（通过 SSE 在其他位置运行服务）：

{
  "mcpServers": {
    "lacework": {
      "url": "http://your-server-host:8000/sse"
    }
  }
}

对于远程服务，每次调用时都会将凭据作为工具参数传递（lacework_account、lacework_key_id、lacework_secret）。

API 参考

基于 Lacework API v2 文档：

• 身份验证：使用 POST /api/v2/access/tokens，并自动刷新令牌
• 警报：通过 /api/v2/Alerts 端点提供完整的 CRUD 操作
• 速率限制：每项功能每小时 480 次请求
• 时间范围：每次请求最多 7 天；默认范围为过去 24 小时