Agent Skills
返回列表
🔒

CrowdStrike Falcon 告警遥测调查助手

IT 运维与安全 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/investigate-crowdstrike-falcon-alerts-and-telemetry-through-falcon-mcp

技能介绍

痛点：安全事件分诊中的上下文切换

在处理安全事件时，安全工程师和 AI 智能体常常面临上下文切换的难题。例如，正在 Claude Code 或 Cursor 这类 MCP 客户端中编写分析脚本或执行响应流程时，收到一条 CrowdStrike Falcon 告警。为了调查这个告警，通常需要暂停当前工作流，打开 Falcon 控制台，手动搜索相关的检测 ID，查阅遥测数据，理解其含义，然后再切回代码编辑器，将收集到的信息转化为可操作的响应上下文。这种频繁的复制粘贴和手动搜索，不仅破坏了自动化的连续性，也容易引入人为错误。

核心能力：集成的 MCP 工作流

通过 falcon-mcp，该技能将 CrowdStrike Falcon 的检测、事件、行为和威胁情报查询能力直接嵌入到智能体的 MCP 工作流中。Agent 无需离开当前环境，即可直接发起查询，获取所需的遥测数据和响应上下文。这消除了中间环节，使告警分诊过程更加流畅和自动化。具体来说，Agent 可以利用该技能：

  • 实时查询特定的检测 ID 或事件 ID，获取详细的告警信息。
  • 分析传感器使用情况，以评估终端的可见性和运行状态。
  • 获取相关的威胁情报和行为数据，辅助判断告警的威胁级别。
  • 直接在工作流中生成只读的响应上下文，为后续的自动化响应或人工干预提供依据。

适用边界与注意事项

该技能是只读的，这意味着它专注于信息收集和分诊，而非自动化的阻断或修复。其可用性取决于配置的 falcon-mcp 模块所需的 API 凭据范围。此外，运行环境必须满足基础要求，如 Python 3.10+ 及相应的包管理工具（uv 或 pip），以及一个兼容 MCP 的客户端。在使用时，需要确保 API 凭证的权限与实际需要的功能相匹配，并留意上游 falcon-mcp 项目可能存在的配置细节和限制。

使用场景

  • 在 Claude Code 或 Cursor 中编写安全分析脚本时收到 Falcon 告警，需要立即查询检测 ID 详情而不切出当前工作流。
  • 自动化响应流程需要基于遥测数据判断告警威胁级别，但不想在 Falcon 控制台和编辑器之间来回复制信息。
  • 排查终端异常时需要查看 Falcon 传感器使用数据，确认该主机是否处于正常监控状态。
  • 需要获取与告警相关的行为和威胁情报，辅助决定是否需要人工介入处置。

适合人员

  • 安全运营工程师：日常处理 CrowdStrike 告警，希望在现有 MCP 客户端中直接完成分诊，减少工具切换。
  • AI Agent 开发者：正在为安全场景构建自动化工作流，需要把 Falcon 遥测查询嵌入 Agent 的 MCP 工具链中。
  • SOC 分析师：需要在告警响应流程中快速获取检测详情和传感器状态，为后续处置提供依据。