はじめに
こんにちは、 ネクストモード株式会社 の sobar です。
今回はFalcon MCP と、Claude Desktopを利用したFalcon MCPの利用についてご紹介します。
Falcon MCPとは？
概要
Falcon MCP（falcon-mcp）は、CrowdStrike社が公式にオープンソース（GitHub: crowdstrike/falcon-mcp）として提供している、Model Context Protocol（MCP） 対応のサーバーです。
MCPは、Anthropic社が策定した「AIモデル（LLM）と外部のツールやデータソースをシームレスに接続するためのオープン標準プロトコル」です。Falcon MCPはこの標準規格に対応することで、Claude Desktop、Cursor、VS Code、Gemini CLIなどの各種AIクライアントから、CrowdStrike Falconプラットフォーム内のセキュリティデータへ直接アクセスすることを可能にします。
背景と導入するメリット
従来のセキュリティ運用（SOC）や脅威ハンティングにおいて、CrowdStrike Falconのデータを活用するには、管理コンソール画面を手動で操作するか、Python SDK（FalconPyなど）を用いて独自のAPI連携スクリプトを作成する必要がありました。
Falcon MCPを導入することで、開発者やセキュリティアナリストはプログラムを書くことなく、AIアシスタントに対する自然言語のプロンプト（指示文）だけでFalcon APIを呼び出し、データ検索・分析を行えるようになります。
Falcon MCPでできること
Falcon MCPを利用することで、LLMの優れたテキスト処理能力とCrowdStrikeの強固なセキュリティ機能を組み合わせ、以下のような高度なセキュリティ運用を自動化・効率化できます。
1. インシデント・アラートの自動調査（Incident Response & Triage）
- 初動トリアージの高速化：「Falcon APIへ接続して、直近で検知されたCriticalレベルのインシデントと、影響を受けている端末を一覧化して」と指示するだけで、CrowdScoreや検知理由をまとめた初動レポートを即座に作成できます。
- 挙動の文脈解析：検出されたプロセスツリーや実行コマンドなどの挙動データ（IOA: Indicator of Attack）を取得し、どのような攻撃が行われたかをLLMが噛み砕いて解説します。
2. 脅威インテリジェンスと侵害指標の検索（Threat Intelligence & IOC Search）
- IOC/IOAのクイック照会：疑わしいIPアドレス、ドメイン、ファイルハッシュ（SHA256など）を渡すことで、関連する脅威情報（侵害指標）を即座に検索できます。
- 攻撃者（Threat Actor）情報の特定： 検出された攻撃手法から関連する攻撃者グループのプロファイルや過去の観測レポートを抽出し、脅威のバックグラウンドを把握できます。
3. ホスト・端末情報の詳細参照（Host & Asset Management）
- アセット情報の自然言語検索：「Falcon APIへ接続して、特定のIPアドレスを持つ端末のOSバージョン、オンライン状態、割り当てられているポリシーを調べて」といった自然言語での問い合わせが可能です。
- 影響端末の洗い出し：特定の条件に合致するエンドポイントを横断的に検索し、脅威の拡散状況を短時間で把握できます。
4. 脆弱性評価とリスク分析（Vulnerability Management）
- CVE脆弱性の追跡：自社環境内で特定のCVE番号（脆弱性）の影響を受けている端末や、修正パッチが未適用となっている端末を特定します。
- 優先度のランク付け：セキュリティリスクの高さに基づき、どの端末からパッチ適用を進めるべきかのアドバイスを出力させることができます。
5. 対話型脅威ハンティングとレポート作成（Interactive Threat Hunting）
- インタラクティブな調査：「Falcon APIへ接続して、この不審なファイルをダウンロードした他の端末はある？その端末の最近のログイン履歴は？」のように、対話形式で調査を深掘り（ドリルダウン）できます。
- 報告書作成の自動化：調査結果を元に、経営層向けのエグゼクティブサマリーや、チーム内共有用のインシデント報告書を自動生成できます。
Falcon MCP設定について（Windows端末）
ここからは、実際にWindows環境のClaude DesktopでFalcon MCPをセットアップする手順を解説します。（※あらかじめ端末でClaude Desktopが利用可能な状況を想定しています。）
Falcon MCP設定手順（Windows端末）
- ①CrowdStrikeテナントでAPI払い出し＆必要な権限を設定
- ②端末（Windows）に uv / uvx を入れる
- ③uvを使ってFalcon MCPをインストールする
- ④環境変数(.env)ファイルを作成しCrowdStrikeテナントで取得した情報を記載
- ⑤Claude Desktop のclaude_desktop_config.json ファイルにfalcon-mcpの記述を追加
それでは以下より設定を行っていきます。
①CrowdStrikeテナントでAPI払い出し＆必要な権限を設定
サポートおよびリソース > APIクライアントおよびキー > APIクライアントの作成 をクリックします。
クライアント名を入力し、必要なスコープのみチェックを入れて作成をクリックします。
※今回、スコープは以下『〇』がついているものを設定しました。
| スコープ | 読み取り | 書き込み |
| Access Scopes | ||
| Alerts | 〇 | |
| API Client Management | 〇 | |
| API integrations | ||
| App Logs | 〇 | |
| Apps | 〇 | |
| Case Analyst Dashboards | ||
| Case SOC Dashboards | ||
| Case Templates | ||
| Cases | ||
| Charlotte AI Agent Definition | ||
| Charlotte AI Agent Evaluation Runs | ||
| Charlotte AI Agent Evaluations | ||
| Cloud Security AWS Registration | ||
| Cloud Security Azure Registration | ||
| Cloud Security Google Cloud Registration | ||
| Cloud ML Policies | ||
| Cloud Security OCI Registration | ||
| Cloud Security Registration | ||
| Content Update Policy | 〇 | |
| Correlation Rules Admin | ||
| Correlation Rules | 〇 | |
| Custom IOA rules | 〇 | |
| Custom storage | ||
| Delete Managed Assets | ||
| Channel File Control Settings | ||
| Deployment Coordinator | ||
| Detections | ||
| Device Content | ||
| Device control policies | 〇 | |
| Hosts | ||
| Actors (Falcon Intelligence) | ||
| Reports (Falcon Intelligence) | ||
| Firewall management | 〇 | |
| Foundry Extensions | ||
| Foundry Navigations | ||
| Foundry Pages | ||
| Host groups | ||
| Host Migration | ||
| NGSIEM | 〇 | 〇 |
| Incidents | ||
| Installation Tokens Settings | ||
| Installation Tokens | ||
| IOC Management | ||
| IOCs (Indicators of Compromise) | ||
| Bulk uninstallation token | ||
| Message Center | ||
| Machine Learning Exclusions | 〇 | |
| Network Containment Allowlist | ||
| NGSIEM Dashboards | 〇 | |
| NGSIEM Data Connections API | 〇 | |
| NGSIEM Lookup Files | ||
| NGSIEM Parsers | ||
| NGSIEM Saved Queries | ||
| On-demand scans (ODS) | ||
| Prevention policies | 〇 | |
| Quarantined Files | ||
| Real time response (admin) | ||
| Real time response app | ||
| Real time response audit | ||
| Real time response | ||
| Response policies | 〇 | |
| Scheduled Reports | 〇 | |
| IOA Exclusions | 〇 | |
| Sensor Download | ||
| Sensor update policies | ||
| Sensor Usage | ||
| Sensor Visibility Exclusions | 〇 | |
| Vulnerabilities | ||
| Event streams | ||
| Third Party Detection Exclusions | ||
| Threatgraph | ||
| User management | ||
| Workflow | ||
| XDR 3rd Party Response | ||
| Zero Trust Assessment |
APIクライアントが作成されましたので、クライアントID、シークレット、ベースURLをそれぞれコピーして控えます。
②端末（Windows）に uv / uvx を入れる
端末（Windows）でPowerShell を管理者モードで起動し以下を実行します。
$ powershell -ExecutionPolicy ByPass -c "irm https://astral.sh/uv/install.ps1 | iex"
PowerShellを再起動し、以下コマンドでuvxのバージョンを確認します。
$ uvx --version
③uvを使ってFalcon MCPをインストールする
$ uv tool install falcon-mcp
④環境変数(.env)ファイルを作成しCrowdStrikeテナントで取得した情報を記載
- 作成ファイル：C:\Users\<利用ユーザ>\falcon-mcp.env
- ファイル記載内容 ※FALCON_CLIENT_ID、FALCON_CLIENT_SECRET の値は①で取得したものを設定します。
| FALCON_CLIENT_ID=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX FALCON_CLIENT_SECRET=YYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYY FALCON_BASE_URL=https://api.crowdstrike.com |
⑤Claude Desktop のclaude_desktop_config.json ファイルにfalcon-mcpの記述を追加
-
記載を追加するファイル：C:\Users\<利用ユーザ>\AppData\Roaming\Claude\claude_desktop_config.json
- ファイル記載追記内容
| { "mcpServers": { "falcon-mcp": { "command": "uvx", "args": [ "--env-file", "C:\\Users\\<利用ユーザ>\\falcon-mcp\\.env", "falcon-mcp" ] } } } |
設定が完了しましたら、以下のようにClaude Desktop の開発者の項目でfalcon-mcp がrunning となっています。
参考
さいごに
今回はFalcon MCP と、Claude Desktopを利用したFalcon MCPの利用についてご紹介しました。実際に検証してみたところ、特にアラートの初動調査やレポート作成の効率化において非常に有用だと感じました。
この記事によってなにか新たな気づきがあり、皆さまの CrowdStrike Falconの運用一助となれば幸いです。
CrowdStrike についてのお問い合わせ
ネクストモードでは、CrowdStrikeをはじめ、OktaやNetskopeを活用したSaaS・生成AIの包括的なセキュリティ対策をご支援しています 。ご興味のある方は、ぜひお気軽にご相談ください！
