Falcon MCP
MCP-сервер связывает агента с CrowdStrike Falcon для разбора срабатываний, сведений об устройствах и действий защиты.
- 281 ★ репозитория
- Последний коммит
- MIT
Широкий доступ
Почему такой уровень
- При включенных изменяющих инструментах агент может менять политики защиты, исключения и группы устройств с правами API-клиента.
Установка
- Работает в
Ручная установка
uv tool install falcon-mcpПервый рекомендованный установщик README. После установки задайте учетные данные Falcon и ограничьте набор инструментов.
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- При включенных изменяющих инструментах агент может менять политики защиты, исключения и группы устройств с правами API-клиента.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Falcon MCP дает агенту доступ к данным и операциям CrowdStrike Falcon через выбранные модули. Аналитик может собрать сведения о срабатывании, найти связанные устройства и сопоставить наблюдения с данными об угрозах. Для расследования сервер можно запустить только с читающими инструментами. При более широких правах доступны изменения политик, групп устройств, исключений и других настроек защиты. Администратор выбирает модули и отдельные инструменты при запуске. В динамическом режиме агент сначала находит нужную возможность, затем получает ее описание и выполняет действие.
Для кого. Аналитикам центра безопасности, которые расследуют события CrowdStrike Falcon и ограничивают агенту доступные действия.
Подходит, если
- После срабатывания аналитик собирает связанные устройства и сведения об угрозе.
- Для расследования нужен отдельный сервер без инструментов изменения настроек.
- В большой конфигурации агент должен загружать описание только нужного инструмента.
- Администратор хочет проверить список реально доступных агенту операций.
Не подходит, если
- У команды нет нужного доступа к Falcon API.
- Сервер должен быть доступен из сети без защиты входящих запросов.
- Нельзя разрешать агенту изменение политик, но конфигурация оставляет такие инструменты включенными.
Пример запроса к агенту
В режиме только чтения собери сведения о выбранном срабатывании и связанных устройствах, затем перечисли недостающие данные для расследования.MCP
- Транспорт
- stdio, http
- Авторизация
- API-ключ
Переменные окружения
FALCON_CLIENT_IDобязательная- Идентификатор API-клиента Falcon
FALCON_CLIENT_SECRETобязательная, секрет- Секрет API-клиента Falcon
FALCON_BASE_URLобязательная- Адрес API нужного облака Falcon
Ограничения
Набор доступных данных зависит от прав API-клиента Falcon и подключенных возможностей платформы. При HTTP-подключении сервер по умолчанию не проверяет ключ входящего запроса: для доступа вне локальной машины настройте отдельную защиту. Параметр `--tools` добавляет инструменты к выбранным модулям; для исключения изменений используйте `--read-only`. Проект еще не достиг версии 1.0, и имена инструментов, параметры и ответы могут меняться между минорными выпусками.
Как отключить. Остановите Falcon MCP и удалите его подключение из ИИ-клиента. Отзовите учетные данные API, если доступ больше не нужен; выполненные изменения Falcon отменяйте отдельно.
Частые вопросы
Как исключить изменения настроек?
Запустите сервер с `--read-only`: изменяющие инструменты не будут доступны агенту.
Можно оставить только два инструмента?
Да. Задайте их через `--tools` без включения модулей.
Что будет при опечатке в имени инструмента?
Сервер завершит запуск ошибкой, чтобы неверное ограничение не осталось незамеченным.
Где увидеть реально доступные операции?
Попросите список включенных инструментов; журнал запуска также показывает действующие ограничения.
Почему инструмент недоступен в динамическом режиме?
На него действуют те же ограничения. Ответ сервера объясняет, какое правило исключило действие.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыSecurity Detections MCP — база правил детектирования
Security Detections MCP
MCP-сервер собирает правила Sigma, Splunk, Elastic и KQL в одну базу: агент ищет детекторы и пробелы в покрытии ATT&CK
MCP-сервер для наступательной безопасности: агент запускает более 150 инструментов пентеста и разведки и ведет автоматическую проверку целей
Платформа расследования инцидентов на MCP: ИИ разбирает криминалистические артефакты, а каждый вывод утверждает человек подписью.
Сканер безопасности для MCP-серверов: ищет зашитые ключи, отравление инструментов и инъекции в коде репозитория.
MCP Observatory — проверка безопасности MCP-серверов
MCP Observatory
Сканер MCP-серверов: проверяет схемы, дрейф и поведение при атаках, работает в CI и как MCP-сервер для агента
MCP-сервер, который дает агенту разбор уязвимостей: данные NVD, EPSS, каталог CISA KEV, связки с MITRE ATT&CK и оценка риска CVE в одном запросе
Коротко о README
Репозиторий ведет CrowdStrike совместно с сообществом; README отдельно отличает его от официального продукта компании. Есть контейнерный запуск.