# CrowdStrike Falcon MCP Server

Подключает ИИ-агента к платформе CrowdStrike Falcon: детекты, threat intelligence, управление хостами и правила. Пригодится, если вы ведёте разбор инцидентов прямо из чата.

- MCP-сервер · `type=mcp` · Claude Code, Codex, Cursor, GitHub Copilot, Windsurf (Devin Desktop), Cline, Zed · ★ 273
- Автор: CrowdStrike
- Лицензия: MIT · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/CrowdStrike/falcon-mcp
- Обновлён: 2026-10-22
- HTML: https://affpapa.org/nevibecode/mcp/crowdstrike-falcon-mcp-server

## Что делает

Сервер даёт агенту программный доступ к модулям Falcon. Среди них Detections, Intel, Hosts, IOC, NGSIEM, Spotlight, Cloud Security, Identity Protection, Quarantine, Real Time Response и другие. Через них можно искать и агрегировать детекты, разбирать активность злоумышленников, смотреть уязвимости и инвентарь активов, выполнять CQL-запросы к Next-Gen SIEM.

Ставится как обычный MCP-сервер: `uvx falcon-mcp` поднимает его по stdio, а подключение к Claude делается одной командой `claude mcp add`. Нужны учётные данные Falcon — `FALCON_CLIENT_ID` и `FALCON_CLIENT_SECRET`, а также `FALCON_MCP_API_KEY`. Часть модулей включается отдельно через `FALCON_MCP_MODULES`, для мультитенантных сценариев есть `FALCON_MEMBER_CID` и `FALCON_BASE_URL`.

Это pre-1.0: имена инструментов, параметры и формат ответов ещё меняются между минорными версиями. Если обновитесь вслепую, сломается рабочий сценарий — фиксируйте версию и сверяйтесь с changelog перед апгрейдом. Проект поддерживает сама CrowdStrike, вопросы принимают через GitHub Issues.

## Требования
- Нужно: Python и uv (команды через uvx)
- Переменные окружения: `FALCON_CLIENT_ID`, `FALCON_CLIENT_SECRET`, `FALCON_BASE_URL`, `FALCON_MEMBER_CID`, `FALCON_MCP_MODULES`, `FALCON_MCP_TRANSPORT`, `FALCON_MCP_DEBUG`, `FALCON_MCP_HOST`, `FALCON_MCP_PORT`, `FALCON_MCP_USER_AGENT_COMMENT` — это ключи и токены: значения спроси у человека, в репозиторий и общие файлы не записывай.

## Установка

### Claude Code (родная платформа)

**Командой платформы**
```bash
claude mcp add --env FALCON_CLIENT_ID=<FALCON_CLIENT_ID> --env FALCON_CLIENT_SECRET=<FALCON_CLIENT_SECRET> --env FALCON_BASE_URL=<FALCON_BASE_URL> --env FALCON_MEMBER_CID=<FALCON_MEMBER_CID> --env FALCON_MCP_MODULES=<FALCON_MCP_MODULES> --transport stdio crowdstrike-falcon-mcp-server -- uvx falcon-mcp
```
Вместо <…> подставьте свои значения. Ещё 7 переменных окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from falcon-mcp <команда>

### Codex

**Командой платформы**
```bash
codex mcp add crowdstrike-falcon-mcp-server --env FALCON_CLIENT_ID=<FALCON_CLIENT_ID> --env FALCON_CLIENT_SECRET=<FALCON_CLIENT_SECRET> --env FALCON_BASE_URL=<FALCON_BASE_URL> --env FALCON_MEMBER_CID=<FALCON_MEMBER_CID> --env FALCON_MCP_MODULES=<FALCON_MCP_MODULES> -- uvx falcon-mcp
```
Вместо <…> подставьте свои значения. Ещё 7 переменных окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from falcon-mcp <команда>

### Cursor

**Файл настроек**
Файл `.cursor/mcp.json`:
```json
{
    "mcpServers": {
        "crowdstrike-falcon-mcp-server": {
            "command": "uvx",
            "args": [
                "falcon-mcp"
            ],
            "env": {
                "FALCON_CLIENT_ID": "<FALCON_CLIENT_ID>",
                "FALCON_CLIENT_SECRET": "<FALCON_CLIENT_SECRET>",
                "FALCON_BASE_URL": "<FALCON_BASE_URL>",
                "FALCON_MEMBER_CID": "<FALCON_MEMBER_CID>",
                "FALCON_MCP_MODULES": "<FALCON_MCP_MODULES>"
            }
        }
    }
}
```
Вместо <…> подставьте свои значения. Ещё 7 переменных окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from falcon-mcp <команда>

### GitHub Copilot

**Файл настроек**
Файл `.vscode/mcp.json`:
```json
{
    "servers": {
        "crowdstrike-falcon-mcp-server": {
            "type": "stdio",
            "command": "uvx",
            "args": [
                "falcon-mcp"
            ],
            "env": {
                "FALCON_CLIENT_ID": "<FALCON_CLIENT_ID>",
                "FALCON_CLIENT_SECRET": "<FALCON_CLIENT_SECRET>",
                "FALCON_BASE_URL": "<FALCON_BASE_URL>",
                "FALCON_MEMBER_CID": "<FALCON_MEMBER_CID>",
                "FALCON_MCP_MODULES": "<FALCON_MCP_MODULES>"
            }
        }
    }
}
```
Вместо <…> подставьте свои значения. Ещё 7 переменных окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from falcon-mcp <команда>

### Gemini CLI

**Командой платформы**
```bash
gemini mcp add -e FALCON_CLIENT_ID=<FALCON_CLIENT_ID> -e FALCON_CLIENT_SECRET=<FALCON_CLIENT_SECRET> -e FALCON_BASE_URL=<FALCON_BASE_URL> -e FALCON_MEMBER_CID=<FALCON_MEMBER_CID> -e FALCON_MCP_MODULES=<FALCON_MCP_MODULES> crowdstrike-falcon-mcp-server uvx falcon-mcp
```
Вместо <…> подставьте свои значения. Ещё 7 переменных окружения — в README сервера. uvx запускает команду с именем пакета; если в README она другая — uvx --from falcon-mcp <команда>

## Когда брать
- найти и разобрать детекты по конкретному хосту
- проверить индикаторы компрометации по базе threat intelligence
- собрать инвентарь уязвимостей из Spotlight
- выполнить CQL-запрос к Next-Gen SIEM
- посмотреть, что делали ИИ-агенты в сессиях Guardian

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md