crowdsentinel-mcp-server — MCP-сервер для Claude Code: охота
Связывает агента с Elasticsearch и OpenSearch: поиск угроз на естественном языке, разбор инцидентов, форензика эндпоинтов и трафика.
claude mcp add --env ELASTICSEARCH_HOSTS=<ELASTICSEARCH_HOSTS> --env ELASTICSEARCH_CLOUD_ID=<ELASTICSEARCH_CLOUD_ID> --env ELASTICSEARCH_API_KEY=<ELASTICSEARCH_API_KEY> --env ELASTICSEARCH_USERNAME=<ELASTICSEARCH_USERNAME> --env ELASTICSEARCH_PASSWORD=<ELASTICSEARCH_PASSWORD> --transport stdio crowdsentinel-mcp-server -- uvx crowdsentinel-mcp-serverЧто делает crowdsentinel-mcp-server
Сервер даёт агенту 139 инструментов и 9 ресурсов с плейбуками по расследованиям. Запросы к Elasticsearch пишутся обычным текстом, а находки — индикаторы компрометации — переносятся между инструментами автоматически, включая таймлайн и корреляцию между запросами. Состояние расследования хранится в памяти на 8 ГБ и переживает перезапуск сессии.
Внутри — 6 060 правил детекции (Lucene, EQL, ES|QL), они уже в пакете. Отдельная команда crowdsentinel setup докачивает бинарь Chainsaw для разбора EVTX и больше 3 000 правил Sigma; всё это лежит в ~/.crowdsentinel/ и не пропадает при обновлении пакета. Для анализа PCAP нужен tshark в системе, иначе сетевой разбор и сквозная корреляция индикаторов не заработают. Живая форензика через Velociraptor ставится отдельным extras-набором.
Проект в активной разработке и заявлен как не готовый к продакшену: интерфейсы инструментов и форматы данных могут меняться. Подключение требует доступа к Elasticsearch — хост, Cloud ID, API-ключ или логин с паролем передаются переменными окружения.
Какие задачи решает
- найти подозрительные процессы в Elasticsearch обычным текстом
- собрать таймлайн инцидента из логов EVTX
- вытащить адреса C2 из base64-обфусцированной команды PowerShell
- сопоставить индикаторы из PCAP с событиями на хостах
- снять артефакты с живого эндпоинта через Velociraptor
Примеры запросов агенту
- Найди в индексе все запуски
powershell.exeс флагом-EncodedCommandза последние сутки - Разбери
capture.pcapи сопоставь найденные IP с событиями в Elasticsearch - Собери таймлайн по хосту
WORKSTATION-14и покажи, что было до и после входа
Как установить crowdsentinel-mcp-server
Командой платформы
claude mcp add --env ELASTICSEARCH_HOSTS=<ELASTICSEARCH_HOSTS> --env ELASTICSEARCH_CLOUD_ID=<ELASTICSEARCH_CLOUD_ID> --env ELASTICSEARCH_API_KEY=<ELASTICSEARCH_API_KEY> --env ELASTICSEARCH_USERNAME=<ELASTICSEARCH_USERNAME> --env ELASTICSEARCH_PASSWORD=<ELASTICSEARCH_PASSWORD> --transport stdio crowdsentinel-mcp-server -- uvx crowdsentinel-mcp-serverВместо <…> подставьте свои значения. Ещё 3 переменные окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from crowdsentinel-mcp-server <команда>
Командой платформы
codex mcp add crowdsentinel-mcp-server --env ELASTICSEARCH_HOSTS=<ELASTICSEARCH_HOSTS> --env ELASTICSEARCH_CLOUD_ID=<ELASTICSEARCH_CLOUD_ID> --env ELASTICSEARCH_API_KEY=<ELASTICSEARCH_API_KEY> --env ELASTICSEARCH_USERNAME=<ELASTICSEARCH_USERNAME> --env ELASTICSEARCH_PASSWORD=<ELASTICSEARCH_PASSWORD> -- uvx crowdsentinel-mcp-serverВместо <…> подставьте свои значения. Ещё 3 переменные окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from crowdsentinel-mcp-server <команда>
Файл настроек
{
"mcpServers": {
"crowdsentinel-mcp-server": {
"command": "uvx",
"args": [
"crowdsentinel-mcp-server"
],
"env": {
"ELASTICSEARCH_HOSTS": "<ELASTICSEARCH_HOSTS>",
"ELASTICSEARCH_CLOUD_ID": "<ELASTICSEARCH_CLOUD_ID>",
"ELASTICSEARCH_API_KEY": "<ELASTICSEARCH_API_KEY>",
"ELASTICSEARCH_USERNAME": "<ELASTICSEARCH_USERNAME>",
"ELASTICSEARCH_PASSWORD": "<ELASTICSEARCH_PASSWORD>"
}
}
}
}Вместо <…> подставьте свои значения. Ещё 3 переменные окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from crowdsentinel-mcp-server <команда>
Файл настроек
{
"servers": {
"crowdsentinel-mcp-server": {
"type": "stdio",
"command": "uvx",
"args": [
"crowdsentinel-mcp-server"
],
"env": {
"ELASTICSEARCH_HOSTS": "<ELASTICSEARCH_HOSTS>",
"ELASTICSEARCH_CLOUD_ID": "<ELASTICSEARCH_CLOUD_ID>",
"ELASTICSEARCH_API_KEY": "<ELASTICSEARCH_API_KEY>",
"ELASTICSEARCH_USERNAME": "<ELASTICSEARCH_USERNAME>",
"ELASTICSEARCH_PASSWORD": "<ELASTICSEARCH_PASSWORD>"
}
}
}
}Вместо <…> подставьте свои значения. Ещё 3 переменные окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from crowdsentinel-mcp-server <команда>
Командой платформы
gemini mcp add -e ELASTICSEARCH_HOSTS=<ELASTICSEARCH_HOSTS> -e ELASTICSEARCH_CLOUD_ID=<ELASTICSEARCH_CLOUD_ID> -e ELASTICSEARCH_API_KEY=<ELASTICSEARCH_API_KEY> -e ELASTICSEARCH_USERNAME=<ELASTICSEARCH_USERNAME> -e ELASTICSEARCH_PASSWORD=<ELASTICSEARCH_PASSWORD> crowdsentinel-mcp-server uvx crowdsentinel-mcp-serverВместо <…> подставьте свои значения. Ещё 3 переменные окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from crowdsentinel-mcp-server <команда>
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о crowdsentinel-mcp-server
Как установить crowdsentinel-mcp-server в Claude Code?
Добавьте сервер командой `claude mcp add crowdsentinel-mcp-server -e ELASTICSEARCH_API_KEY=<ELASTICSEARCH_API_KEY> -e ELASTICSEARCH_PASSWORD=<ELASTICSEARCH_PASSWORD> -e ELASTICSEARCH_BEARER_TOKEN=<ELASTICSEARCH_BEARER_TOKEN> -- uvx crowdsentinel-mcp-server. Второй вариант — с явным указанием хоста и транспорта: claude mcp add --env ELASTICSEARCH_HOSTS=<ELASTICSEARCH_HOSTS> --env ELASTICSEARCH_CLOUD_ID=<ELASTICSEARCH_CLOUD_ID> --env ELASTICSEARCH_API_KEY=<ELASTICSEARCH_API_KEY> --env ELASTICSEARCH_USERNAME=<ELASTICSEARCH_USERNAME> --env ELASTICSEARCH_PASSWORD=<ELASTICSEARCH_PASSWORD> --transport stdio crowdsentinel-mcp-server -- uvx crowdsentinel-mcp-server`.
Что делает crowdsentinel-mcp-server?
Это MCP-сервер для охоты за угрозами и реагирования на инциденты. Он соединяет языковую модель с Elasticsearch или OpenSearch и добавляет разбор EVTX, PCAP, живой форензики и локальных хостов.
Что нужно для работы сервера?
Доступ к Elasticsearch или OpenSearch через переменные окружения, а для анализа трафика — tshark в системе. Живая форензика Velociraptor ставится extras-набором pip install 'crowdsentinel-mcp-server[velociraptor]'.
