CrowdStrike Falcon MCP Server — MCP-сервер
Подключает ИИ-агента к платформе CrowdStrike Falcon: детекты, threat intelligence, управление хостами и правила. Пригодится, если вы ведёте разбор инцидентов прямо из чата.
claude mcp add --env FALCON_CLIENT_ID=<FALCON_CLIENT_ID> --env FALCON_CLIENT_SECRET=<FALCON_CLIENT_SECRET> --env FALCON_BASE_URL=<FALCON_BASE_URL> --env FALCON_MEMBER_CID=<FALCON_MEMBER_CID> --env FALCON_MCP_MODULES=<FALCON_MCP_MODULES> --transport stdio crowdstrike-falcon-mcp-server -- uvx falcon-mcpЧто делает CrowdStrike Falcon MCP Server
Сервер даёт агенту программный доступ к модулям Falcon. Среди них Detections, Intel, Hosts, IOC, NGSIEM, Spotlight, Cloud Security, Identity Protection, Quarantine, Real Time Response и другие. Через них можно искать и агрегировать детекты, разбирать активность злоумышленников, смотреть уязвимости и инвентарь активов, выполнять CQL-запросы к Next-Gen SIEM.
Ставится как обычный MCP-сервер: uvx falcon-mcp поднимает его по stdio, а подключение к Claude делается одной командой claude mcp add. Нужны учётные данные Falcon — FALCON_CLIENT_ID и FALCON_CLIENT_SECRET, а также FALCON_MCP_API_KEY. Часть модулей включается отдельно через FALCON_MCP_MODULES, для мультитенантных сценариев есть FALCON_MEMBER_CID и FALCON_BASE_URL.
Это pre-1.0: имена инструментов, параметры и формат ответов ещё меняются между минорными версиями. Если обновитесь вслепую, сломается рабочий сценарий — фиксируйте версию и сверяйтесь с changelog перед апгрейдом. Проект поддерживает сама CrowdStrike, вопросы принимают через GitHub Issues.
Какие задачи решает
- найти и разобрать детекты по конкретному хосту
- проверить индикаторы компрометации по базе threat intelligence
- собрать инвентарь уязвимостей из Spotlight
- выполнить CQL-запрос к Next-Gen SIEM
- посмотреть, что делали ИИ-агенты в сессиях Guardian
Примеры запросов агенту
- покажи последние детекты за сутки и сгруппируй их по хостам
- проверь этот хеш в Intel и скажи, что за семейство
- выполни CQL-запрос по логам за последний час
Как установить CrowdStrike Falcon MCP Server
Командой платформы
claude mcp add --env FALCON_CLIENT_ID=<FALCON_CLIENT_ID> --env FALCON_CLIENT_SECRET=<FALCON_CLIENT_SECRET> --env FALCON_BASE_URL=<FALCON_BASE_URL> --env FALCON_MEMBER_CID=<FALCON_MEMBER_CID> --env FALCON_MCP_MODULES=<FALCON_MCP_MODULES> --transport stdio crowdstrike-falcon-mcp-server -- uvx falcon-mcpВместо <…> подставьте свои значения. Ещё 7 переменных окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from falcon-mcp <команда>
Командой платформы
codex mcp add crowdstrike-falcon-mcp-server --env FALCON_CLIENT_ID=<FALCON_CLIENT_ID> --env FALCON_CLIENT_SECRET=<FALCON_CLIENT_SECRET> --env FALCON_BASE_URL=<FALCON_BASE_URL> --env FALCON_MEMBER_CID=<FALCON_MEMBER_CID> --env FALCON_MCP_MODULES=<FALCON_MCP_MODULES> -- uvx falcon-mcpВместо <…> подставьте свои значения. Ещё 7 переменных окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from falcon-mcp <команда>
Файл настроек
{
"mcpServers": {
"crowdstrike-falcon-mcp-server": {
"command": "uvx",
"args": [
"falcon-mcp"
],
"env": {
"FALCON_CLIENT_ID": "<FALCON_CLIENT_ID>",
"FALCON_CLIENT_SECRET": "<FALCON_CLIENT_SECRET>",
"FALCON_BASE_URL": "<FALCON_BASE_URL>",
"FALCON_MEMBER_CID": "<FALCON_MEMBER_CID>",
"FALCON_MCP_MODULES": "<FALCON_MCP_MODULES>"
}
}
}
}Вместо <…> подставьте свои значения. Ещё 7 переменных окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from falcon-mcp <команда>
Файл настроек
{
"servers": {
"crowdstrike-falcon-mcp-server": {
"type": "stdio",
"command": "uvx",
"args": [
"falcon-mcp"
],
"env": {
"FALCON_CLIENT_ID": "<FALCON_CLIENT_ID>",
"FALCON_CLIENT_SECRET": "<FALCON_CLIENT_SECRET>",
"FALCON_BASE_URL": "<FALCON_BASE_URL>",
"FALCON_MEMBER_CID": "<FALCON_MEMBER_CID>",
"FALCON_MCP_MODULES": "<FALCON_MCP_MODULES>"
}
}
}
}Вместо <…> подставьте свои значения. Ещё 7 переменных окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from falcon-mcp <команда>
Командой платформы
gemini mcp add -e FALCON_CLIENT_ID=<FALCON_CLIENT_ID> -e FALCON_CLIENT_SECRET=<FALCON_CLIENT_SECRET> -e FALCON_BASE_URL=<FALCON_BASE_URL> -e FALCON_MEMBER_CID=<FALCON_MEMBER_CID> -e FALCON_MCP_MODULES=<FALCON_MCP_MODULES> crowdstrike-falcon-mcp-server uvx falcon-mcpВместо <…> подставьте свои значения. Ещё 7 переменных окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from falcon-mcp <команда>
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о CrowdStrike Falcon MCP Server
Как установить CrowdStrike Falcon MCP Server в Claude?
Одной командой: `claude mcp add falcon-mcp -e FALCON_CLIENT_ID=<FALCON_CLIENT_ID> -e FALCON_CLIENT_SECRET=<FALCON_CLIENT_SECRET> -e FALCON_MCP_API_KEY=<FALCON_MCP_API_KEY> -- uvx falcon-mcp`. Перед этим подставьте свои значения вместо плейсхолдеров.
Что делает CrowdStrike Falcon MCP Server?
Связывает ИИ-агента с платформой Falcon и открывает доступ к детектам, threat intelligence, хостам, уязвимостям и другим модулям. Агент вызывает их как инструменты прямо в диалоге.
Что нужно для работы сервера?
Учётные данные Falcon: FALCON_CLIENT_ID, FALCON_CLIENT_SECRET и FALCON_MCP_API_KEY. Список активных модулей задаётся через FALCON_MCP_MODULES.
