CrowdStrike MCP

CrowdStrike + AI——适用于 ChatGPT、Claude、GitHub Copilot、Microsoft 365 Copilot、Gemini，以及任何支持 MCP 的 Agent

非官方。由社区构建的 Claude Code 技能和 CrowdStrike API 的 MCP 服务。与 CrowdStrike, Inc. 无关联，未获其认可或赞助。

_{▶ 观看 30 秒演示——演示数据为模拟数据；展示的每条命令都存在于真实 CLI 中。}

可执行所有 CrowdStrike Falcon MSP 操作，还提供一个支持 Flight-Control 的本地存储，可一次性回答涉及所有租户的全体设备问题——其他任何 Falcon 工具（包括官方 MCP 服务）都做不到这一点。可与您现有的 AI 工具配合使用——ChatGPT（Plus/Pro+，在此连接器重新发布前暂停；参见 mcp-install.md）、Claude Desktop、Codex、Claude Code、Claude Cowork 和 GitHub Copilot——还可通过远程方式使用 Microsoft 365 Copilot / Copilot Studio 和 Google Gemini。免费、开源，可在笔记本电脑上运行。专为 MSP 所有者打造。无需编写代码。

适用于您的 Agent

安全提示（在此连接器重新发布前）。 请勿运行 HTTP 模式 （--transport http），即使是在 localhost 上也不行。此版本没有密码保护， 会监听所有网络接口，且早于浏览器重绑定防护机制， 因此您打开的网页可以访问它。MCP 工具还可以使用您的凭据执行更改。 请使用默认的 stdio 传输方式。如果您为远程 Agent 设置了隧道， 请关闭隧道。修复正在准备中。

MSP 所有者实际使用的六种 Agent（可自行安装，即刻可用）：

您的 AI Agent	CrowdStrike 技能安装方式
Claude Desktop	运行安装程序，然后前往 Settings > Extensions 注册 crowdstrike-mcp（无需编辑 JSON）。
ChatGPT（付费方案）	在此连接器重新发布前暂停：ChatGPT 需要 HTTP 模式，而此版本的该模式无需密码，会监听所有网络接口，且可被您打开的网页访问。请参见 mcp-install.md 中的安全提示。
Codex CLI	粘贴下方的安装提示词。
Claude Code	粘贴下方的安装提示词。
Claude Cowork	粘贴下方的安装提示词。
GitHub Copilot（VS Code）	运行安装程序，在 servers 键下的 mcp.json 中添加 crowdstrike-mcp，然后选择 Agent 模式。

ChatGPT 需要远程 HTTPS 服务，这意味着需要使用此连接器的 HTTP 模式；在连接器重新发布前，该模式暂停使用：此版本的该模式无需密码，会监听所有网络接口，且可被您打开的网页访问。请参见 mcp-install.md 中的安全提示。

也适用于 Microsoft 和 Google 技术栈

安装基数庞大，但先坦诚提醒：这些属于远程 / 企业级方案，而不是你刚刚安装的本地二进制文件。

Agent	所需条件
Microsoft 365 Copilot / Copilot Studio	暂停使用，直到重新发布此连接器：Copilot Studio 需要使用 HTTP 模式，而在此版本中，该模式无需密码，会监听所有网络接口，并且可以通过你打开的网页访问。请参阅 mcp-install.md 中的安全说明。
Google Gemini	Gemini CLI 是本地的，与 Claude Code 一样。Gemini app 是远程的，需要像 ChatGPT 一样暂停使用 HTTP 模式。请参阅 mcp-install.md。

原生支持 Skill 的 Agent（也已涵盖）： Hermes 和 OpenClaw 会直接读取此 Skill 的 SKILL.md，并且支持 MCP——请参阅下方的安装章节。通过 MCP 也支持 Cursor、Windsurf、Cline、Continue.dev 和 Zed。各工具的完整接入说明：docs/which-agent.md。

要运行多个 Agent？ 使用一条命令即可安装到所有 51 个以上受支持的 Agent：npx skills add Servosity/msp-skills@latest（需要 Node.js，然后运行各 Skill 的安装程序来安装 CLI/MCP 二进制文件）。请参阅 docs/which-agent.md。

60 秒内完成安装

Claude Desktop 最快捷的方式——一键安装 .mcpb

Claude Desktop 安装包： .mcpb 可在 macOS（Intel 和 Apple Silicon）、Windows x64 和 Linux x64 上启动。每个工具都会调用配套的 crowdstrike-cli。2026-09-18 起发布的版本会在安装包内附带该 CLI；较早的安装包只包含 MCP 服务，因此如果你的安装包缺少配套 CLI，请先运行下方的路径 A 或路径 B 安装程序（或将 CROWDSTRIKE_CLI_PATH 设置为现有二进制文件的路径）。详情： #331。

下载 CrowdStrike MCP（.mcpb）——然后打开 Claude Desktop > 设置 > 扩展 并选择该文件。点击一次即可，无需 JSON 或 shell。（在发布页面浏览所有 CrowdStrike 版本。）

更喜欢 Claude Code 插件？添加一次市场，然后安装即可——立即生效，无需列出目录：

/plugin marketplace add Servosity/msp-skills
/plugin install crowdstrike@msp-skills

路径 A——向 AI Agent 粘贴一条提示词（推荐）

将以下内容复制到 Claude Code、Codex CLI 或 Claude Cowork 中：

在此 Agent 工作区中安装来自 Servosity/msp-skills 的 CrowdStrike Skill 和 MCP 服务。如果此工作区使用 POSIX shell（macOS、Linux、WSL 或 Bash），请运行 bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/crowdstrike/install.sh)。如果使用 Windows PowerShell，请运行 iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/crowdstrike/install.ps1 | iex。然后按照 README 进行身份验证，并运行 crowdstrike-cli --help 以了解用法。

任何能够运行 shell 的 Agent 都可以使用同一条提示词。

路径 B——自行运行安装程序

Windows（PowerShell）：

iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/crowdstrike/install.ps1 | iex

macOS / Linux：

bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/crowdstrike/install.sh)

安装程序会将 crowdstrike-cli（CLI）和 crowdstrike-mcp（MCP 服务）都放入用户的 bin 路径。Claude Code、Codex 和 Cowork 会通过此目录中的 SKILL.md 发现 Skill。

验证：

crowdstrike-cli --version

升级到最新版本

安装程序始终会获取当前版本——重新运行即可升级：

macOS / Linux：

bash <(curl -fsSL https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/crowdstrike/install.sh)

Windows（PowerShell）：

iwr -useb https://raw.githubusercontent.com/Servosity/msp-skills/main/skills/crowdstrike/install.ps1 | iex

Claude Desktop .mcpb 用户：下载最新的 .mcpb（见本节顶部），然后在 设置 > 扩展 中重新选择该文件。Claude Code 插件用户：/plugin update crowdstrike@msp-skills。

添加到 Claude Desktop、GitHub Copilot、Gemini CLI、Microsoft 365 Copilot 或其他 MCP 客户端

安装程序运行后，请参阅 mcp-install.md 和 docs/which-agent.md，了解各 Agent 的连接方式——每个 Agent 均有单独的章节，其中包括 GitHub Copilot 的 servers 键，以及远程 Microsoft 365 Copilot / Copilot Studio 的配置路径。Claude Desktop 的 Settings > Extensions 面板是最简单的配置方式；对于偏好编辑 JSON 的用户，mcp-install.md 中提供了 MCP 配置块的说明。

为 Hermes 安装

在 Hermes CLI 中：

hermes skills install servosity/msp-skills/skills/crowdstrike --force

在 Hermes 聊天会话中：

/skills install servosity/msp-skills/skills/crowdstrike --force

Hermes 原生支持 MCP，因此也可以直接使用 crowdstrike-mcp 服务——安装方式和环境变量都相同。

为 OpenClaw 安装

向你的 OpenClaw Agent 发送以下内容（复制即可）：

从 https://github.com/servosity/msp-skills/tree/main/skills/crowdstrike 安装 crowdstrike 技能。该技能会通过 openclaw: 前置元数据块说明如何安装其所需的 CLI（crowdstrike-cli）。

OpenClaw 目前尚未普遍开放；前置元数据配置已预先提供，会在 OpenClaw 发布时立即启用。

身份验证

设置 CLI 所需的凭据（从你的 CrowdStrike 门户获取）：

CROWDSTRIKE_OAUTH_SCOPE=<value> FALCON_CLIENT_ID=<value> FALCON_CLIENT_SECRET=<value> crowdstrike-cli doctor

运行任何会访问数据的操作之前，doctor 会确认凭据是否有效。即使凭据被拒绝，它也会以 0 退出，因此脚本应添加 --fail-on error。

此技能的功能

MSP 经常提出的问题	命令
目前我应该优先处理所有客户租户中的哪些问题？	crowdstrike-cli fleet alerts --status new
对所有租户的严重漏洞进行排名？	crowdstrike-cli fleet vulns --severity critical
哪些主机最近没有报告传感器心跳？	crowdstrike-cli fleet stale --days 14
为季度业务回顾演示文稿中的每个租户生成一份安全态势评分卡？	crowdstrike-cli fleet scorecard
与我的防护策略基准相比，哪些租户的防护不足？	crowdstrike-cli fleet policy-drift
哪项修复能覆盖最多的主机和租户？	crowdstrike-cli fleet remediate --severity critical
自上次同步以来，哪些租户的状况变差了？	crowdstrike-cli fleet trend
梳理我的 MSSP 中所有子 CID、CID 组和角色授权？	crowdstrike-cli fleet tenants
将所有子租户的 Falcon 数据同步到本地镜像？	crowdstrike-cli fleet sync --all-cids

完整命令参考：guide.md。有关 AI Agent 操作约定（--agent、--dry-run、何时在执行变更前确认），请参阅 AGENTS.md。

与众不同之处

大多数 CrowdStrike 集成和 MCP 服务都会将每个问题转发为实时 API 调用。查询一条记录时这样做没问题。但当你需要回答“我的 40 个客户租户中，哪些仍有严重且已遭主动利用的未修复漏洞”，而答案意味着要通过 Flight Control，逐个 CID 翻查 Spotlight 时，这种方式就无法应对大规模场景。

此技能会将每个子 CID 同步到一个按 CID 编索引的本地 SQLite 存储，并支持全文搜索。跨租户问题只需执行一次离线查询：响应迅速、无需联网，AI 看到的是答案，而不是原始数据。fleet scorecard、fleet policy-drift 和 fleet remediate 等命令可一次性关联所有租户中的主机、警报、漏洞和防护策略；而 fleet trend 等基于时间的视图则会与快照历史进行比较——无状态 API 包装器无法做到这一点。

解决的痛点

Falcon 控制台一次只能查看一个 CID。在多个客户租户中运行 CrowdStrike 时，每个跨客户的问题——哪些租户有最多未处理的检测项、哪些传感器失联、哪个租户在补丁星期二后严重漏洞数量上升——都意味着要通过 Flight Control 切换 CID，并逐个租户重新查看相同的页面。MSP 在 r/msp 和 CrowdStrike 社区中反复提出这个缺少统一视图的问题：Flight Control 可以在父级管理子级，但没有一个视图能并排比较每个 CID 的警报、漏洞或传感器运行状况。

此技能通过将每个 CID 同步到一个本地存储，并直接回答整个客户群的问题，来弥补这一缺口：

• crowdstrike-cli fleet alerts --status new - 跨所有租户的检测队列，按严重程度排序
• crowdstrike-cli fleet vulns --severity critical - 对整个客户群中的 Spotlight 严重漏洞进行排名
• crowdstrike-cli fleet stale --days 14 - 一次扫描所有租户中的所有失联传感器
• crowdstrike-cli fleet scorecard - 用于 QBR 的按 CID 划分的安全态势面板
• crowdstrike-cli fleet policy-drift - 查看哪些租户未达到你的预防策略基线

更详细的说明请参阅 pain-point.md。

常见问题

这适用于 ChatGPT 吗？

当前版本不适用。ChatGPT（Plus、Pro、Team、Business、Enterprise 和 Education 计划；Free 目前尚未开放 Developer Mode）只能通过 HTTPS 连接到远程 MCP 服务，这意味着需要以 HTTP 模式运行 CrowdStrike MCP 服务。在当前版本中，HTTP 模式无需密码，会监听所有网络接口，而且你打开的网页也可以访问它，因此在重新发布连接器之前，请勿运行该模式或将其置于隧道后；mcp-install.md 中的安全说明解释了原因。在此之前，请使用 Claude Desktop、Claude Code 或 Codex。

这适用于 Codex、Cursor、Windsurf、Cline、Copilot 或 Gemini 吗？

适用——它们都支持 MCP。跨工具安装命令见上方的矩阵，深入说明见 docs/which-agent.md。

我需要懂编程吗？

不需要。推荐的安装方式是将一句话粘贴到 Claude Code 或 Codex 中——你的 Agent 会读取 SKILL.md 并完成安装。备用方式是针对每种操作系统的一行安装命令（bash 或 PowerShell）。这两种方式都不需要编写代码。你只需输入一次 CrowdStrike 凭据。

我的 CrowdStrike 数据安全吗？

你的数据会保留在你的设备上。CLI 和 MCP 服务都是本地二进制文件。SQLite 镜像位于你用户帐户下的目录中。AI Agent 只能看到 CLI 返回的内容——通常是查询结果，而非原始批量数据。凭据从你的环境或 Agent 配置中读取；MSP Skills 绝不会将其打包到此代码库中或传输到任何地方。

fleet 命令需要父级（MSSP）CID 吗？

需要。跨租户的 fleet 命令需要一个具有 Flight Control（MSSP）范围的父级 CID Falcon API 客户端，以便 fleet sync 能够发现并拉取每个子级 CID。没有该客户端时，同步会平稳降级为单个已通过身份验证的 CID，汇总结果也只涵盖该租户。按 CID 使用的命令（alerts、devices、spotlight、policy）可用于任意单个租户的客户端。

这会触及 CrowdStrike API 的速率限制吗？

本地存储的作用就是避免读取操作继续调用 API。执行 fleet sync 后，所有跨租户视图都通过本地 SQLite 运行，不会产生 API 调用；实时调用则会遵守 --rate-limit 限流。fleet trend 和 fleet policy-drift 分析至少需要同步两次，才能有历史记录可供比较。

Falcon API 客户端需要哪些权限范围？

为你查询的实体授予读取权限范围：Alerts、Hosts、Spotlight Vulnerabilities、Prevention Policies；对于 fleet 命令，还需要父级 CID 的 Flight Control / MSSP 读取权限范围。只有在打算隔离主机或编辑策略时，才添加写入权限范围（Hosts 写入、Prevention Policies 写入）。为报告单独创建一个只读客户端，仅在少数必要情况下使用带写入权限范围的客户端——客户端的权限范围才是真正的权限边界。

它会取代 Falcon 控制台吗？

不会。对于威胁狩猎、RTR 会话、策略编写，以及在单个 CID 内进行交互式响应工作流，控制台仍然是最佳选择。这项技能为你的 AI Agent 添加跨租户查询和可编写脚本的操作，让你无需逐个切换到各个 CID，就能解答整个服务账簿范围内的问题。

费用是多少？

免费。采用 Apache-2.0 许可。你只需为所使用的 AI Agent（Claude、ChatGPT、Codex 等）付费，费用由你的 AI 提供商收取，而不是由我们收取。

安全模型

层级	示例	建议的 Agent 策略
读取	fleet scorecard、fleet alerts --status new、fleet vulns --severity critical、fleet stale --days 14、alerts post-combined-v1、devices query-by-filter、spotlight query-vulnerabilities、mssp query-children、search "<query>"	允许
写入（常规）	alerts patch-entities-v3（更新/分配警报）、devices perform-action-v2（隔离/解除隔离，或删除/恢复主机）、devices update-tags、policy update-prevention-policies、policy create-prevention-policies	使用 --dry-run 预览，然后经审核后写入
破坏性操作 / 配置	devices delete-host-groups、policy delete-prevention-policies、policy set-prevention-policies-precedence、mssp delete-cidgroups、mssp delete-user-groups、mssp deleted-roles	仅允许人工参与操作

最有力的控制措施，是授予 CrowdStrike 凭据的权限范围——CLI 只能执行凭据被允许执行的操作。完整详情（包括如何收紧权限）请参阅 governance.md。

状态

Beta 版。已针对 CrowdStrike API 的功能范围完成验证，目前正与每周参加 Build Sessions、并在自己的生产租户中实际运行该工具的 MSP 一起进行验证。请前往 compoundingteams.com/build-sessions RSVP。

---

标准。 符合开放的 Agent Skills 规范（Anthropic，2025 年 12 月；支持 40 多种 Agent）。兼容 MCP——可与任何支持 MCP 的 Agent 配合使用，包括 Hermes。已为 OpenClaw 做好准备（frontmatter 已预先配置，等待 OpenClaw 发布）。

由 Servosity 维护。采用 Apache-2.0 许可。使用 CLI Printing Press 构建。最后更新：2026-06-06。