# crowdsentinel-mcp-server

Связывает агента с Elasticsearch и OpenSearch: поиск угроз на естественном языке, разбор инцидентов, форензика эндпоинтов и трафика.

- MCP-сервер · `type=mcp` · Claude Code, Codex, Cursor, GitHub Copilot, Windsurf (Devin Desktop), Cline, Zed, Gemini CLI · ★ 204
- Автор: thomasxm
- Лицензия: GPL-3.0 · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/thomasxm/CrowdSentinels-AI-MCP
- Обновлён: 2026-07-19
- HTML: https://affpapa.org/nevibecode/mcp/crowdsentinel-mcp-server

## Что делает

Сервер даёт агенту 139 инструментов и 9 ресурсов с плейбуками по расследованиям. Запросы к Elasticsearch пишутся обычным текстом, а находки — индикаторы компрометации — переносятся между инструментами автоматически, включая таймлайн и корреляцию между запросами. Состояние расследования хранится в памяти на 8 ГБ и переживает перезапуск сессии.

Внутри — 6 060 правил детекции (Lucene, EQL, ES|QL), они уже в пакете. Отдельная команда `crowdsentinel setup` докачивает бинарь Chainsaw для разбора EVTX и больше 3 000 правил Sigma; всё это лежит в `~/.crowdsentinel/` и не пропадает при обновлении пакета. Для анализа PCAP нужен `tshark` в системе, иначе сетевой разбор и сквозная корреляция индикаторов не заработают. Живая форензика через Velociraptor ставится отдельным extras-набором.

Проект в активной разработке и заявлен как не готовый к продакшену: интерфейсы инструментов и форматы данных могут меняться. Подключение требует доступа к Elasticsearch — хост, Cloud ID, API-ключ или логин с паролем передаются переменными окружения.

## Требования
- Нужно: Python и uv (команды через uvx)
- Переменные окружения: `ELASTICSEARCH_HOSTS`, `ELASTICSEARCH_CLOUD_ID`, `ELASTICSEARCH_API_KEY`, `ELASTICSEARCH_USERNAME`, `ELASTICSEARCH_PASSWORD`, `ELASTICSEARCH_BEARER_TOKEN`, `VERIFY_CERTS`, `REQUEST_TIMEOUT` — это ключи и токены: значения спроси у человека, в репозиторий и общие файлы не записывай.

## Установка

### Claude Code (родная платформа)

**Командой платформы**
```bash
claude mcp add --env ELASTICSEARCH_HOSTS=<ELASTICSEARCH_HOSTS> --env ELASTICSEARCH_CLOUD_ID=<ELASTICSEARCH_CLOUD_ID> --env ELASTICSEARCH_API_KEY=<ELASTICSEARCH_API_KEY> --env ELASTICSEARCH_USERNAME=<ELASTICSEARCH_USERNAME> --env ELASTICSEARCH_PASSWORD=<ELASTICSEARCH_PASSWORD> --transport stdio crowdsentinel-mcp-server -- uvx crowdsentinel-mcp-server
```
Вместо <…> подставьте свои значения. Ещё 3 переменные окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from crowdsentinel-mcp-server <команда>

### Codex

**Командой платформы**
```bash
codex mcp add crowdsentinel-mcp-server --env ELASTICSEARCH_HOSTS=<ELASTICSEARCH_HOSTS> --env ELASTICSEARCH_CLOUD_ID=<ELASTICSEARCH_CLOUD_ID> --env ELASTICSEARCH_API_KEY=<ELASTICSEARCH_API_KEY> --env ELASTICSEARCH_USERNAME=<ELASTICSEARCH_USERNAME> --env ELASTICSEARCH_PASSWORD=<ELASTICSEARCH_PASSWORD> -- uvx crowdsentinel-mcp-server
```
Вместо <…> подставьте свои значения. Ещё 3 переменные окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from crowdsentinel-mcp-server <команда>

### Cursor

**Файл настроек**
Файл `.cursor/mcp.json`:
```json
{
    "mcpServers": {
        "crowdsentinel-mcp-server": {
            "command": "uvx",
            "args": [
                "crowdsentinel-mcp-server"
            ],
            "env": {
                "ELASTICSEARCH_HOSTS": "<ELASTICSEARCH_HOSTS>",
                "ELASTICSEARCH_CLOUD_ID": "<ELASTICSEARCH_CLOUD_ID>",
                "ELASTICSEARCH_API_KEY": "<ELASTICSEARCH_API_KEY>",
                "ELASTICSEARCH_USERNAME": "<ELASTICSEARCH_USERNAME>",
                "ELASTICSEARCH_PASSWORD": "<ELASTICSEARCH_PASSWORD>"
            }
        }
    }
}
```
Вместо <…> подставьте свои значения. Ещё 3 переменные окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from crowdsentinel-mcp-server <команда>

### GitHub Copilot

**Файл настроек**
Файл `.vscode/mcp.json`:
```json
{
    "servers": {
        "crowdsentinel-mcp-server": {
            "type": "stdio",
            "command": "uvx",
            "args": [
                "crowdsentinel-mcp-server"
            ],
            "env": {
                "ELASTICSEARCH_HOSTS": "<ELASTICSEARCH_HOSTS>",
                "ELASTICSEARCH_CLOUD_ID": "<ELASTICSEARCH_CLOUD_ID>",
                "ELASTICSEARCH_API_KEY": "<ELASTICSEARCH_API_KEY>",
                "ELASTICSEARCH_USERNAME": "<ELASTICSEARCH_USERNAME>",
                "ELASTICSEARCH_PASSWORD": "<ELASTICSEARCH_PASSWORD>"
            }
        }
    }
}
```
Вместо <…> подставьте свои значения. Ещё 3 переменные окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from crowdsentinel-mcp-server <команда>

### Gemini CLI

**Командой платформы**
```bash
gemini mcp add -e ELASTICSEARCH_HOSTS=<ELASTICSEARCH_HOSTS> -e ELASTICSEARCH_CLOUD_ID=<ELASTICSEARCH_CLOUD_ID> -e ELASTICSEARCH_API_KEY=<ELASTICSEARCH_API_KEY> -e ELASTICSEARCH_USERNAME=<ELASTICSEARCH_USERNAME> -e ELASTICSEARCH_PASSWORD=<ELASTICSEARCH_PASSWORD> crowdsentinel-mcp-server uvx crowdsentinel-mcp-server
```
Вместо <…> подставьте свои значения. Ещё 3 переменные окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from crowdsentinel-mcp-server <команда>

## Когда брать
- найти подозрительные процессы в Elasticsearch обычным текстом
- собрать таймлайн инцидента из логов EVTX
- вытащить адреса C2 из base64-обфусцированной команды PowerShell

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md