falcon-mcp

falcon-mcp-extended

说明

这是 CrowdStrike 官方 falcon-mcp 服务的社区扩展（采用 MIT 许可证）。它在官方精选工具集的基础上，新增 106 个自动生成的 API 封装模块（约 904 个额外工具），几乎完整覆盖 CrowdStrike Falcon API。本项目与 CrowdStrike 无关联、未由其维护，也未获其认可。如果你只需要精选的 SOC 工作流，请使用官方服务；如果需要官方服务尚未开放的 API 功能，则可使用本项目。

面向 SOC 分析师和安全工程师： 无需再在 CrowdStrike、工单系统和笔记之间反复切换。你可以让 Claude 对警报进行分诊、提取进程树、检查其他主机上是否运行过该哈希，并起草事件响应记录——所有操作都在一次对话中完成。

falcon-mcp-extended 是一个模型上下文协议（MCP）服务，可让 AI Agent（包括 Claude）直接、结构化地访问 CrowdStrike Falcon 平台，从而开展智能安全运营。

功能介绍

此服务连接 AI 助手与 CrowdStrike Falcon 平台，让 SOC 分析师能够用自然语言提问，并获取基于实时 Falcon 数据的回答。它将 Falcon 的检测、调查、响应和威胁情报功能以 MCP 工具的形式开放，使 AI Agent 能够在一次对话中搜索检测结果、追踪行为线索、隔离主机并查询威胁情报。它既适用于交互式 SOC 工作流，也适用于自动化安全流水线，并支持 MSSP Flight Control，因此无需切换控制台，即可查询多租户环境。

相较于官方服务的新增内容

层级	模块数量	估计工具数量	默认启用
精选模块（来自上游及新增内容）	50	~392	是
自动生成的 API 封装（gen_*）——本项目新增	106	额外约 ~904 个	否（需选择启用）

默认模式开放精选层（约 392 个工具），其中包含描述清晰、易于使用的工具，覆盖所有主要 SOC 工作流。启用 FALCON_MCP_ENABLE_GENERATED=1 后，即可开放完整的生成层（总计约 1,296 个工具），实现全面的 API 覆盖——包括 Message Center、ODS 扫描、响应/内容/设备控制策略、安装令牌、MalQuery、FalconX Sandbox、QuickScan Pro、样本上传、FileVantage、Falcon Complete Dashboard、云注册（AWS/Azure/GCP/OCI）、Kubernetes 准入控制、容器镜像/警报/检测、网络扫描、NGSIEM 管理、知识库等更多功能。

功能

• EDR 遥测 — 搜索检测结果、行为和事件；深入查看进程执行树和命令行活动
• 实时响应（RTR） — 初始化 RTR 会话，运行只读分诊命令（ps、netstat、filehash、reg query），并通过可配置的安全门执行主动响应程序和管理员命令
• 威胁情报 — 研究威胁行为者，查询 CrowdStrike 指标，获取 MITRE ATT&CK 报告，并搜索情报报告
• 自定义 IOC 管理 — 搜索、创建和删除自定义失陷指标；管理 IOC 监视列表
• 漏洞管理（Spotlight） — 按主机查询 CVE 暴露情况，按严重程度或 CVE ID 筛选，并查看漏洞评估
• 云安全 — Kubernetes 容器可见性、容器镜像漏洞、CSPM 资产清单，以及无服务器函数漏洞扫描
• 身份保护（IDP） — 实体调查和基于身份的威胁分析
• MSSP / Flight Control — 列出并指定子 CID；为每个工具传入 member_cid，将任意查询限定到特定受管租户
• 下一代 SIEM（NGSIEM） — 对 Falcon NGSIEM 执行 CQL 查询，开展基于日志的调查
• 主机管理 — 查询主机清单、登录历史记录、网络地址历史记录、设备组和在线状态
• 防火墙和自定义 IOA — 搜索和管理防火墙规则及行为检测规则组
• 事件管理 — 关联跨主机的事件，更新状态，并添加调查备注
• 计划报告 — 列出、管理和下载 Falcon 计划报告的输出
• 安全门 — 只读模式会在注册时禁用所有会修改数据的工具；独立的破坏性操作策略用于控制主机隔离、RTR 执行和账户级删除

先决条件

• Python 3.11 或更高版本
• CrowdStrike Falcon API 凭据（Client ID 和 Client Secret），并具有你计划使用的模块所需的权限范围
• uv（推荐）或 pip

安装

重要

正确的软件包名称是 falcon-mcp-extended。请勿运行 pip install falcon-mcp — 这是 CrowdStrike 的官方软件包，不包含扩展模块层。

从 PyPI 安装（推荐）

pip install falcon-mcp-extended

或者使用 uv：

uv pip install falcon-mcp-extended

从源代码安装

git clone https://github.com/rijul170/falcon-mcp.git
cd falcon-mcp
uv sync --all-extras
uv run falcon-mcp

直接通过 GitHub 使用 uvx（无需克隆）

uvx --from git+https://github.com/rijul170/falcon-mcp falcon-mcp

通过 GitHub 使用 pip 安装

pip install git+https://github.com/rijul170/falcon-mcp

配置

所有配置均由环境变量（或工作目录中的 .env 文件）驱动。CLI 标志与每个环境变量一一对应；两者同时设置时，CLI 标志优先。

变量	必填	描述	示例
FALCON_CLIENT_ID	必填	CrowdStrike API 客户端 ID	abc123def456
FALCON_CLIENT_SECRET	必填	CrowdStrike API 客户端密钥	your-client-secret
FALCON_BASE_URL	必填	所在区域的 API 端点 URL	https://api.crowdstrike.com
FALCON_MEMBER_CID	可选	MSSP Flight Control 的默认子 CID；将所有查询定向到该租户	ABC123DEF456GHI789
FALCON_MCP_TRANSPORT	可选	传输协议：stdio、sse 或 streamable-http（默认值：stdio）	streamable-http
FALCON_MCP_HOST	可选	HTTP 传输的绑定主机（默认值：127.0.0.1）	0.0.0.0
FALCON_MCP_PORT	可选	HTTP 传输的绑定端口（默认值：8000）	8000
FALCON_MCP_MODULES	可选	要启用的模块列表，以逗号分隔；省略则启用全部模块	detections,incidents,intel
FALCON_MCP_ENABLE_GENERATED	可选	设置为 1 以加载全部 106 个自动生成的模块（总计约 1,296 个工具）	1
FALCON_MCP_READONLY	可选	设置为 true，以在启动时屏蔽所有会修改数据的工具	true
FALCON_MCP_ALLOW_DESTRUCTIVE	可选	设置为 true 以启用所有破坏性工具，或设置为以逗号分隔的特定工具名称列表以选择性启用	falcon_perform_host_action,falcon_execute_rtr_active_responder_command
FALCON_MCP_API_KEY	可选	HTTP 传输中用于 x-api-key 请求头认证的 API 密钥	your-api-key
FALCON_MCP_STATELESS_HTTP	可选	设置为 true，以为水平扩展部署启用无状态 HTTP 模式	true
FALCON_MCP_DEBUG	可选	设置为 true 以启用详细调试日志记录	true

区域基础 URL：

区域	基础 URL
US-1	https://api.crowdstrike.com
US-2	https://api.us-2.crowdstrike.com
EU-1	https://api.eu-1.crowdstrike.com
GOV-1	https://api.laggar.gcw.crowdstrike.com

Claude Code 集成

对于 Claude Code 和其他支持持久服务连接的 AI 开发环境，推荐使用 HTTP 模式（streamable-http）。

步骤 1 — 启动服务：

FALCON_CLIENT_ID=your-client-id \
FALCON_CLIENT_SECRET=your-client-secret \
FALCON_BASE_URL=https://api.crowdstrike.com \
FALCON_MCP_TRANSPORT=streamable-http \
uv run falcon-mcp

步骤 2 — 添加到 .claude/settings.json（项目级）或 ~/.claude/settings.json（全局）：

{
  "mcpServers": {
    "falcon-mcp": {
      "type": "http",
      "url": "http://localhost:8000/mcp"
    }
  }
}

对于受 API 密钥保护的部署，请添加请求头：

{
  "mcpServers": {
    "falcon-mcp": {
      "type": "http",
      "url": "http://localhost:8000/mcp",
      "headers": {
        "x-api-key": "your-api-key"
      }
    }
  }
}

Claude Desktop 集成

Claude Desktop 最适合使用 Stdio 模式。凭据会直接传入 MCP 服务配置。

{
  "mcpServers": {
    "falcon-mcp": {
      "command": "uvx",
      "args": ["--from", "git+https://github.com/rijul170/falcon-mcp", "falcon-mcp"],
      "env": {
        "FALCON_CLIENT_ID": "your-client-id",
        "FALCON_CLIENT_SECRET": "your-client-secret",
        "FALCON_BASE_URL": "https://api.crowdstrike.com"
      }
    }
  }
}

若要从 .env 文件加载凭据，而不是将其嵌入配置中：

{
  "mcpServers": {
    "falcon-mcp": {
      "command": "uvx",
      "args": ["--env-file", "/path/to/.env", "--from", "git+https://github.com/rijul170/falcon-mcp", "falcon-mcp"]
    }
  }
}

Docker

使用随附的 Dockerfile 在本地构建镜像：

git clone https://github.com/rijul170/falcon-mcp.git
cd falcon-mcp
docker build -t falcon-mcp-extended .

# Run with a .env file (stdio transport)
docker run -i --rm --env-file /path/to/.env falcon-mcp-extended

# Run with streamable-http transport
docker run --rm -p 8000:8000 --env-file /path/to/.env \
  falcon-mcp-extended --transport streamable-http --host 0.0.0.0

MSSP / 多租户用法

该服务原生支持 CrowdStrike Flight Control 环境。

默认租户定向： 设置 FALCON_MEMBER_CID，即可将所有查询定向到特定子 CID，无需更改其他设置：

export FALCON_MEMBER_CID="CHILD_CID_HERE"

按请求指定租户： 所有接受 member_cid 参数的工具都可以在调用时覆盖默认值。这样，AI Agent 无需重启服务，即可在单个会话中查询多个子租户：

“搜索租户 ABC123 中的严重检测项，并与租户 XYZ789 进行比较。”

Flight Control 模块： flight_control 模块提供用于枚举所有子账户、列出 CID 组和用户组、查询 MSSP 角色分配以及管理组成员关系的工具。

MSSP API 作用域： 父 CID 必须启用 Flight Control API 作用域。通过父级查询时，无需子 CID API 密钥。

可用模块

模块	主要功能
alerts	搜索和管理所有 Falcon 警报类型的统一警报
detections	查找和分析 EDR 检测；获取行为详情和进程树
incidents	查询和关联安全事件；更新状态并添加调查备注
hosts	搜索主机清单；获取登录历史、网络地址历史和在线状态
intel	调查威胁行为者和恶意软件家族；查询 IOC 情报；获取 MITRE ATT&CK 报告
ioc	搜索、创建和删除自定义失陷指标
rtr	初始化 RTR 会话；执行只读、主动响应和管理员命令；管理 RTR 脚本
spotlight	按主机或 CVE ID 查询漏洞发现；访问评估逻辑和漏洞元数据
cloud	Kubernetes 容器可见性；容器镜像漏洞；CSPM 资产清单
idp	身份实体调查和身份保护分析
flight_control	MSSP Flight Control：列出子账户、CID 组、用户组和 MSSP 角色
ngsiem	对 Falcon Next-Gen SIEM 执行 CQL 查询
filevantage	文件完整性监控——查询 FIM 策略分配和变更事件
discover	应用清单搜索；发现未受管理和未经批准的资产
sensor_usage	访问和分析传感器部署及使用数据
threat_graph	基于图的 IOC 追踪：查找运行过指定哈希或连接到指定 IP 的主机
host_groups	管理设备组：创建、更新和查询主机组成员
firewall	搜索和管理防火墙规则及规则组
custom_ioa	创建和管理自定义 IOA 行为检测规则及规则组
serverless	搜索无服务器函数中的漏洞
scheduled_reports	列出、管理和下载计划报告执行记录

此外还有 106 个可选的 gen_* 模块，覆盖 Falcon API 的其余部分（通过 FALCON_MCP_ENABLE_GENERATED=1 启用）。每个工具的描述都会注明所需的 OAuth2 API 作用域。

SOC 快速入门

服务器运行并连接到 Claude 后，即可立即开始调查。示例提示词：

对新检测进行分诊：

“搜索过去 24 小时内严重和高危的新检测，并总结排名前 5 的检测。”

调查特定检测：

“获取检测 ID abc123 对应的完整进程树和命令行详情。”

隔离已失陷主机：

“隔离主机 WORKSTATION-42，并将其添加到 IR-2025-001 标记组。”

根据 IOC 进行威胁搜寻：

“我的环境中有哪些主机执行过哈希 d41d8cd98f00b204e9800998ecf8427e？请展示时间线。”

MSSP 跨租户警报摘要：

“列出子租户 ABC123 和 XYZ789 中所有未关闭的严重警报，并标记使用相同技术的警报。”

漏洞优先级排序：

“列出影响面向互联网主机的所有严重 CVE，且 CVSS 评分高于 9.0。”

macOS 持久运行（launchd）

若要在 macOS 上将服务器作为持久后台服务运行，可在 examples/launchd/ 目录中找到 launchd plist 示例。请参阅其中的模板和配置说明。

云部署

• Amazon Bedrock AgentCore
• Google Cloud Run / Vertex AI

安全注意事项

只读模式： 对于不需要写入权限的环境，请设置 FALCON_MCP_READONLY=true。这会在注册时抑制所有会修改数据的工具——无论提出什么请求，这些工具都不会暴露给 AI Agent。

破坏性操作管控： 即使启用了写入权限，默认也会抑制标记为具有破坏性的工具（主机隔离、RTR 命令执行、账户级删除）。请通过 FALCON_MCP_ALLOW_DESTRUCTIVE 显式启用。建议指定以逗号分隔的具体工具名称，而不是设置为 true（这会启用全部约 119 个破坏性工具）：

# Enable only host containment and RTR active responder
FALCON_MCP_ALLOW_DESTRUCTIVE=falcon_perform_host_action,falcon_batch_execute_active_responder_command

API 凭据范围： 为此服务创建专用的 Falcon API 客户端，并仅授予用例所需的范围。不要重复使用管理员级别的 API 密钥。每个工具的文档字符串都说明了其所需的 API 范围。

凭据存储： 切勿将 API 凭据嵌入提交到源代码管理的 MCP 配置文件中。请使用环境变量、存储在仓库根目录之外的 .env 文件或密钥管理器。对于供多个用户共享的 HTTP 传输，启用 FALCON_MCP_API_KEY，以便在 Falcon API 身份验证之外，还要求通过 MCP 层进行身份验证。

网络暴露： 默认的 HTTP 绑定地址为 127.0.0.1。在不可信的网络环境中，如果未启用 API 密钥身份验证，请勿绑定到 0.0.0.0。

贡献

# Clone and install with dev dependencies
git clone https://github.com/rijul170/falcon-mcp.git
cd falcon-mcp
uv sync --all-extras

# Run tests
uv run pytest

欢迎通过 GitHub Issues 提交 Bug 报告、功能请求和拉取请求。对于可能也有益于官方服务的精选模块变更，请考虑同时向上游 CrowdStrike/falcon-mcp 贡献。

其他开发者文档：

• 模块开发指南 — 如何实现新的精选模块
• 资源开发指南 — 如何实现 MCP 资源
• 集成测试指南 — 如何针对实时 Falcon API 运行测试
• 端到端测试指南 — 完整的 E2E 测试设置与执行

支持

这是一个独立的社区维护项目。它不是 CrowdStrike 的官方产品，也不受 CrowdStrike 支持——请勿就此项目联系 CrowdStrike 技术支持。

如有疑问、Bug 报告或功能请求，请提交 GitHub Issue。

致谢

精选模块层、服务核心和测试套件源自 CrowdStrike 的官方 falcon-mcp 项目（MIT 许可证，版权所有：CrowdStrike）。本项目在此基础上扩展了自动生成的 API 覆盖范围。CrowdStrike 和 Falcon 的所有商标均归 CrowdStrike, Inc. 所有。

相关 MCP 服务

这三个服务覆盖安全技术栈中互为补充的层面——网络/日志（Alert Logic）、终端防护（Sophos）以及 EDR/威胁情报（CrowdStrike）。将它们结合使用，可实现 AI 驱动的全栈 SOC 运维。

服务	平台	亮点
falcon-mcp-extended	CrowdStrike Falcon	EDR 遥测、RTR、威胁情报、MSSP Flight Control，1,296 个工具
sophos-central-mcp	Sophos Central	终端隔离、Live Discover SQL、XDR、电子邮件/防火墙/DNS，334 个工具
alertlogic-mcp	Alert Logic MDR	事件响应、SQL 日志搜索、SOAR、漏洞管理，473 个工具

许可证

MIT——请参阅 LICENSE。原始代码版权所有 (c) CrowdStrike；扩展部分版权所有 (c) falcon-mcp-extended 贡献者。