falcon-mcp

falcon-mcp 是一个模型上下文协议（MCP）服务器，它将 AI 代理与 CrowdStrike Falcon 平台连接起来，为您的智能体工作流提供智能安全分析能力。它提供对关键安全功能（包括检测、威胁情报和主机管理）的编程访问，为高级安全运营和自动化奠定基础。

[!IMPORTANT] 🚧 公开预览：本项目目前处于公开预览阶段，正在积极开发中。在稳定版 1.0 发布之前，功能和特性可能会发生变化。虽然我们鼓励探索和测试，但请避免在生产环境中部署。我们欢迎您通过 GitHub Issues 提供反馈，以帮助塑造最终版本。

文档

完整文档可在 developer.crowdstrike.com/falcon-mcp 获取。

Related MCP server: falcon-mcp

模块

有关所需的 API 范围、可用工具和 FQL 资源，请参阅模块概述。

快速入门

安装

使用 uv（推荐）

uv tool install falcon-mcp

使用 pip

pip install falcon-mcp

配置

设置所需的环境变量（或使用 .env 文件 — 请参阅配置指南）：

export FALCON_CLIENT_ID="your-client-id"
export FALCON_CLIENT_SECRET="your-client-secret"
export FALCON_BASE_URL="https://api.crowdstrike.com"

运行

falcon-mcp

有关完整的安装和配置详细信息，请参阅入门指南。

编辑器集成

使用 uvx（推荐）

{
  "mcpServers": {
    "falcon-mcp": {
      "command": "uvx",
      "args": [
        "--env-file",
        "/path/to/.env",
        "falcon-mcp"
      ]
    }
  }
}

模块选择

{
  "mcpServers": {
    "falcon-mcp": {
      "command": "uvx",
      "args": [
        "--env-file",
        "/path/to/.env",
        "falcon-mcp",
        "--modules",
        "detections,hosts,intel"
      ]
    }
  }
}

Docker

{
  "mcpServers": {
    "falcon-mcp-docker": {
      "command": "docker",
      "args": [
        "run",
        "-i",
        "--rm",
        "--env-file",
        "/full/path/to/.env",
        "quay.io/crowdstrike/falcon-mcp:latest"
      ]
    }
  }
}

有关所有命令行选项、模块配置和库用法，请参阅使用指南。

容器用法

# Pull the latest image
docker pull quay.io/crowdstrike/falcon-mcp:latest

# Run with .env file (stdio transport)
docker run -i --rm --env-file /path/to/.env quay.io/crowdstrike/falcon-mcp:latest

# Run with streamable-http transport (add --api-key when the port is reachable beyond localhost)
docker run --rm -p 8000:8000 --env-file /path/to/.env \
  quay.io/crowdstrike/falcon-mcp:latest \
  --transport streamable-http --host 0.0.0.0 --api-key your-secret-key

[!CAUTION] HTTP 传输默认没有身份验证。绑定到非回环地址（--host 0.0.0.0） 会暴露一个未认证的服务器，任何能访问该端口的人都可以使用你的 CrowdStrike 凭据来驱动它。对于本地使用，请保持默认的回环绑定，并在绑定更广范围时设置 --api-key。 诸如 AWS Bedrock AgentCore 和 Google Cloud Run 等托管运行时位于它们自己的网络 安全层之后，因此这不适用于它们。请参阅 配置指南。

有关本地构建、自定义端口和高级配置，请参阅Docker 部署指南。

动态模式

同时运行许多模块会膨胀每个 AI 客户端必须持有的上下文窗口。动态模式用三个工具替换完整的工具表面——falcon_list_enabled_tools 用于查看服务器可用的每个工具，falcon_search_tools 用于按关键字查找候选工具，然后获取你选择的工具的参数模式，以及 falcon_execute_tool 用于运行它——这样代理只加载它们实际需要的模式。

falcon-mcp --dynamic
# or: FALCON_MCP_DYNAMIC=true

有关完整的发现→执行工作流和权衡，请参阅动态模式指南。

限制服务器可以做什么

--modules 对每个模块是全有或全无的：启用一个模块以获取其搜索工具，也会暴露它携带的每个变更工具。三个工具级选项可以缩小该表面。

# Investigation-only server: no tool that mutates tenant state is registered
falcon-mcp --read-only

# Expose exactly two tools, nothing else
falcon-mcp --tools falcon_search_detections,falcon_search_hosts

# Keep the module, drop one tool
falcon-mcp --modules hostgroups --exclude-tools falcon_delete_host_groups

# All of detections, plus one tool from a module you did not enable
falcon-mcp --modules detections --tools falcon_search_applications

工具名称是客户端显示的以 falcon_ 为前缀的名称。无法识别的名称会中止启动而不是被忽略，因此拒绝列表中的拼写错误不会静默地使工具暴露。

组合选项

--tools 是加法，而不是缩小过滤器。它在 --modules 已启用的任何工具之上授予单个工具，跨越模块边界：

• --tools X 单独注册仅 X — 默认不加载任何模块。

• --modules detections --tools X 注册每个 detections 工具加上 X，即使 X 属于未启用的模块。该模块仅贡献 X，而不是其整个表面，并且 falcon_list_enabled_modules 不会列出它。falcon_list_enabled_tools 确实列出 X — 它报告服务器上可用的工具，因此它是“此功能在此处是否可用？”的可靠答案。

要减去，请使用 --exclude-tools 或 --read-only。所有四个旋钮组合在一起，并按固定顺序解析：

1. --exclude-tools 无条件移除工具，即使 --tools 指定了它。

2. --read-only 无条件移除每个变更工具，即使 --tools 指定了它。

3. --tools 添加它指定的工具，绕过模块门。

4. --modules 决定默认哪些工具是候选。

因为前两条规则总是获胜，--read-only 和 --exclude-tools 可以安全地设置为部署范围的底线：加法 --tools 列表不能超出它们。组合它们就是表达“搜索一切，不改变任何东西，甚至不提供那个工具”的方式：

falcon-mcp --read-only --exclude-tools falcon_execute_rtr_read_only_command

过滤也适用于动态模式 — 被扣留的工具不会出现在 falcon_search_tools 结果中，并且会被 falcon_execute_tool 拒绝。由于动态模式按名称调度而不是单独注册工具，该拒绝会明确指出该工具存在但服务器的配置扣留了它，并指出负责的规则，因此代理会将禁用的工具报告为禁用，而不是告诉用户该功能不存在。falcon_list_enabled_tools 在任一模式中，只要规则生效，就会携带 filters_active 字段。启动日志会报告哪些规则处于活动状态以及 --read-only 和 --exclude-tools 扣留了多少工具，因此你可以确认部署的内容。使用 --debug 运行以按名称查看被扣留的工具。

这些选项过滤工具，而不是资源。被扣留的工具的 FQL 指南资源仍然可用 — 指南是静态字段文档，不携带租户数据。

部署选项

• Amazon Bedrock AgentCore

• Google Cloud (Agent Platform / Gemini Enterprise)

贡献

# Clone and install
git clone https://github.com/CrowdStrike/falcon-mcp.git
cd falcon-mcp
uv sync --all-extras

# Run tests
uv run pytest

[!IMPORTANT] 此项目使用 Conventional Commits 进行自动发布。请遵循我们的贡献指南中概述的提交消息格式。

开发者文档

• 文档指南：文档的架构和维护指南

• 模块开发指南：实现新模块的说明

• 资源开发指南：实现资源的说明

• 集成测试指南：使用真实 API 调用运行集成测试的指南

注册表

falcon-mcp 已发布到公共 MCP 目录，以便在兼容客户端中发现和一键设置：

• MCP Registry

• GitHub MCP Registry

• Gemini CLI Extensions

许可证

此项目根据 MIT 许可证授权 - 有关详细信息，请参阅 LICENSE 文件。

支持

这是一个社区驱动的开源项目。虽然它不是官方的 CrowdStrike 产品，但它由 CrowdStrike 积极维护，并与开源开发者社区合作支持。

有关更多信息，请参阅我们的 SUPPORT 文件。