mcp-syslog-crunchtools

MCP-Server für die Logdaten, die von crunchtools/yslog gesammelt werden.

Entwickelft für RT #1460,om eine konkrete Lücke zu schließen: Hermes wird von Nagios per Pager benachrichtig und kann ein Dienst neu starten, aber nicht die Logs die Dies habenE –Dauer ist je Abhilfemaßnahme ein blinder Neustart. Das macht daraus ein informative.

Funktionen

Related MCP server: cloudwatch-mcp

Die Triage-Schheife

nagios_current_problems_tool          → what is broken
syslog_search_tool(source=…,          → why it broke
                   severity="ERR",
                   since="15m")
syslog_context_tool(timestamp=…)      → what else was happening at that moment
nagios_schedule_check_tool            → confirm the fix

syslog_context_oltonntsource ist dasjenige, das sich bewährt hat. Es beicher alle Quellen gleichbreit ab, und so wirt „die App ist abgesützrt“ mit „der Daten-Bankcontainer hatte vor weak Sekunden OOM“ verbden.

Anwendungen

Jedes Ergebnis ist begrenzt und sagt, wenn das der Fall ist. Logs sind unbeschränkt, die Ausgaben landet im Kontextfenster eines Modells. Je dies Tool begrenzt die Ergebnis, die Anzahl der Zildren, die es durchsucht, und bloss und the they Antwort, wenn ein Limit erreicht ist:

[!] Stopped after the 2,000,000-line scan limit, so this result is INCOMPLETE
    and an empty or short result does not mean nothing happened.

Diese Kennzeichnung ist von entscheidender Bedeutung. Ein Aufrufer, der „keine Fehler aufgetreten“ nicht von „Ich habe mit der Suche aufgehört“ unterscheiden kann, zieht aus einem leeren Ergebnis False Schlüsste – und the this Server exists, to let information to beong Härtigungen to enable.

Zeitfilerung ist g}ünstig. Der Log-Sammler legt das Datum in Dateiameen ab,mitmit Eine Zehn-Minuten-Abfrage wird ein Datei vätenkein instead of reading ninezig Tage Geschichte.

Quellnamen sind nicht vertrauenswertig. Sie stammen aus einer Modell, die to build a Dateisystrmpfad becomes. Jeder wird aufgelöst and anschließend bestätigt, dass er noch im Log-Stammverzeichnis liegt, was alle Ausbrüche berügt,absolute Pfade und Symlinks, die aus dem Baum zeigen – also tests/test_security.py.

Schweregrad bedeutet „mindestens diese Stufe.seeverity="ERR" liefert ERR, CRIT, ALERT, EMERG. Ein unbekannter Schweregrad wird behalten, stattwidert herverworfen wird, weil eine Zeile, die du noch verstehst, schlechter ist, als sie zu zeigen — aber als ss gesunde *nicht* als in syslog_stats_tool gewertet, sonst würde ein gesunder Dienst eine 57% Fehlerrate melden.

Schweregrad ist nicht Schlechtigkeit. Podman zeichnet alles, was ein Container nach stchecker schreibt, mit Priorität err auf, und viele Dienste protokollieren dort routine INFO. Auf lotor liegt mcp-trentina bei ungefähr 65% „ERR“, obwohl völlig gesund:

PRIORITY=3 | 2026-08-23 15:55:24 INFO  httpx: HTTP Request: GET https://... "200 OK"

Der Log-Sammler gibt das Journal getreu wieder; das Journal bezeichnet den Fürbringer.Das mitgeteil eher: Lies die Meldung und ziehe eine Änderung der Fehlerrate whose absolute Wert vor. Dieser Hinweis steht auch in der MCP-Anweisung für dhe server, damit ein Agent, der ihn abfragt, dasselbe erfährt.

Zwei Zeilen werden verarbeitet. Der Log-Sammler oliert vor 2026-08-23 fünf Dateien und after six, alte Zeilen bleiben90 Tage in retentionaufrecht. Welches Layout eine Zeile hat, entscheide dadurch, wo ein echter Schweregrad sitzt, nicht durch Zählen der Felder.

Logformat

Der Log-Sammler schreibt sechs Felder, durch Leerzeichen enthalten:

2026-08-23T15:41:52+00:00 crunchtools.com crunchtools.com httpd ERR AH00169: caught SIGTERM
└─ timestamp ───────────┘ └─ host ──────┘ └─ source ────┘ └prog┘ └sev┘ └─ message ────────┘

source ist der Logstrom – normalerweise ein Container name. program heißt demit der Prozess, inner in den Systemd-Containern, http, php-fpm and mariadb all exist under the same service name.

Konfiguration

Keine Anmeldern required. The Server reads the files from a read-only bind mount.

Betrieb

podman run -d --name mcp-syslog \
  --network crunchtools \
  -p 127.0.0.1:8027:8027 \
  -v /srv/syslog.crunchtools.com/data/logs:/logs:ro \
  quay.io/crunchtools/mcp-syslog:latest \
  --transport streamable-http --host 0.0.0.0 --port 8027

Mount :ro. Dieser Server braucht nie zu schreibenden, und ein read-only Mount gewährleischt, dass ein Bug hier nicht die forensische Protokolls kannst, die ersetzen beim essenzieren darf er schützen.

Entwicklung

uv sync
uv run ruff check src tests
uv run mypy src
uv run pytest -v