MCP Server Malcolm

Name: MCP Server Malcolm
Author: nagameTW

von nagameTWVersion 1.2.1i★ –iLäuft auf deinem Computer

Name in der Registryio.github.nagameTW/mcp-server-malcolm

Installieren

Überblick

Beschreibung vom Entwickler (englisches Original)

MCP server for Malcolm (Zeek/Suricata/Arkime/OpenSearch): threat-hunting access for AI agents

Die drei Säulen von PopNx MCP

Diese drei werden nie zu einer Punktzahl zusammengefasst: Meinungen, Messungen und Beliebtheit sind verschiedene Dinge.

Stimmen der NutzeriNoch keine BewertungenBewertungen starten in einem späteren Schritt zusammen mit Benutzerkonten
Unsere Basischecksi1 von 1 bestandenAnhand öffentlicher Informationen geprüft; Code noch nicht gescannt
NutzungiNoch nicht gemessen★ –

Was du damit machen kannst

Für diesen Server haben wir noch keine Zusammenfassung in einfacher Sprache geschrieben. Unten stehen die Fakten, die wir aus der Registry gelesen haben.

Verbindung: Läuft auf deinem Computer
Transport: stdio
Kategorie: Sonstiges

Installation

Wähle die KI-App, die du nutzt, und kopiere die Einstellungen.

Bevor du installierst

Basischecks: 1 von 1 bestanden
Läuft auf deinem Computer mit den Rechten deines Benutzerkontos (Dateien, Netzwerk, Apps).
Die Registry nennt keinen Schlüssel zum Eintragen.

Du brauchst

PyPIuv für Python installiert (für den Befehl uvx)

Welche App nutzt du?

ClaudeClaude CodeCursorVS CodeChatGPT

Wähle oben deine App. Wir merken sie uns, damit der Button beim nächsten Mal „In … installieren“ anzeigt.

Öffne Claude Desktop → Settings → Developer → Edit Config und füge dies in claude_desktop_config.json ein

{
  "mcpServers": {
    "malcolm": {
      "command": "uvx",
      "args": [
        "mcp-server-malcolm"
      ]
    }
  }
}

Führe das in deinem Terminal aus

claude mcp add malcolm -- uvx mcp-server-malcolm

In Cursor öffnen

Oder kopier die Einstellungen selbst

In .cursor/mcp.json in deinem Projekt oder in ~/.cursor/mcp.json einfügen

{
  "mcpServers": {
    "malcolm": {
      "command": "uvx",
      "args": [
        "mcp-server-malcolm"
      ]
    }
  }
}

Dein Browser fragt, ob er die App öffnen darf, dann zeigt die App die Einstellungen und bittet dich um Bestätigung. Schlüsselwerte bleiben leer, damit du sie selbst einträgst.

In VS Code öffnen

Oder kopier die Einstellungen selbst

In .vscode/mcp.json in deinem Projekt einfügen

{
  "servers": {
    "malcolm": {
      "type": "stdio",
      "command": "uvx",
      "args": [
        "mcp-server-malcolm"
      ]
    }
  }
}

Dein Browser fragt, ob er die App öffnen darf, dann zeigt die App die Einstellungen und bittet dich um Bestätigung. Schlüsselwerte bleiben leer, damit du sie selbst einträgst.

Dieser Server läuft auf deinem Computer, und ChatGPT kann sich nur mit Servern im Internet verbinden. Wähle eine andere App.

Deine Auswahl bleibt in einem Cookie auf diesem Gerät; kein Konto nötig.

Diese Einstellungen werden aus dem Registry-Eintrag des Entwicklers erzeugt. Wenn in der README etwas anderes steht, folge der README.

Was er kann

Läuft auf deinem Computer; die Tool-Liste erscheint nach der Installation in deiner KI-App.

Basischecksi

Wir prüfen Informationen, die jeder sehen kann; den Code haben wir nicht gelesen. Checks, die nicht zutreffen, werden nicht mitgezählt. · Geprüft am 7. Nov. 2026

✓ Bestanden
Entwickler passt zum Repo
Der Registry-Name wurde mit dem GitHub-Konto nagameTW bestätigt, dem das Repo gehört
… Noch nicht geprüft
Wird noch gepflegt
Dieses Repo haben wir noch nicht von GitHub gelesen
… Noch nicht geprüft
Hat eine Lizenz
Dieses Repo haben wir noch nicht von GitHub gelesen
– Nicht zutreffend
Endpunkt antwortet
Dieser Server läuft auf deinem Computer; es gibt keinen Endpunkt im Internet
– Nicht zutreffend
Anmeldung mit OAuth
Läuft auf deinem Computer und nutzt stattdessen lokale Einstellungen
… Noch nicht geprüft
Keine versteckten Anweisungen in Tool-Beschreibungen
Läuft auf deinem Computer; Tool-Listen können wir nur von Endpunkten im Internet lesen

Im Vergleich mit anderen in Sonstigesi

Mehr Sterne als 0 % der anderen 32684 Server in dieser Kategorie
Neuer in der Registry veröffentlicht als 60 % der anderen 32684 Server in dieser Kategorie
Basischecks gleich gut wie oder besser als bei 100 % der anderen 32684 Server in dieser Kategorie

Verglichen mit allen aktiven Servern dieser Kategorie in der Registry. Sterne zählen nur, wenn dem Herausgeber das Repo gehört.

Häufige Fragen

Ist MCP Server Malcolm sicher?

Er hat 1 von 1 zutreffenden Basischecks bestanden. Den Code haben wir nicht gelesen. Bevor du einen Schlüssel oder Token hinzufügst, sieh nach, welche Zugriffe der Server verlangt, und nutze einen Schlüssel, der nur die Berechtigungen hat, die du brauchst.

Welche Schlüssel oder Codes braucht er?

Die Registry nennt keinen erforderlichen Schlüssel, manche Server bitten dich aber bei der ersten Nutzung, dich anzumelden.

Läuft er auf meinem Computer oder in der Cloud?

Er läuft auf deinem Computer. Deine KI-App startet ihn bei Bedarf, und die Daten laufen nicht über die Server des Entwicklers (außer der Server ruft selbst einen Onlinedienst auf).

Wird er noch gepflegt?

Das GitHub-Repo wurde zuletzt – geändert, und die neueste Version (1.2.1) kam vor 25 Tagen in die Registry.

Welche Apps können ihn nutzen?

Apps, die MCP unterstützen, etwa Claude Desktop, Claude Code, Cursor und VS Code. Außerdem brauchst du Python (uv) auf deinem Computer.

Was kann ich stattdessen nutzen?

In derselben Kategorie: Spec Driven Development, Remote Desktop Commander, Master CSS

Alternativen

Server derselben Kategorie von anderen Entwicklern, sortiert nach Sternen.

So liest du eine Karte:★ GitHub-SterneiDrei Säulen: Bewertungen · Checks · NutzungiAktualisiert = neueste Version in der Registry veröffentlichti

Spec Driven Development

von formulahendry

MCP Server that facilitates spec-driven development workflows, not just Vibe Coding.

Läuft auf deinem Computer★ 440MITAktualisiert vor 14 Monaten

Installieren

Remote Desktop Commander

von desktop-commander

Remote Desktop Commander: use files, terminal and processes on your own computers from any AI app.

Läuft in der Cloud★ 211Aktualisiert vorgestern

Installieren

Master CSS

von master-co

Inspect Master CSS classes, generated CSS, and project stylesheets from your AI client.

Läuft auf deinem ComputerAktualisiert heute

Installieren

README vom Entwickler

README öffnen

Unverändert aus dem Repo des Entwicklers übernommen. PopNx MCP hat den Inhalt weder geprüft noch empfiehlt es ihn. HTML, Bilder und Skripte wurden entfernt. Links führen von dieser Website weg.

Malcolm MCP Server

English | 繁體中文

Malcolm MCP Server lets an AI agent ask questions about the traffic in your Malcolm instance. The server uses the field names and the filter syntax that Malcolm uses. The agent does not guess them. It works with any MCP client, such as Claude Code, Claude Desktop or Cursor.

Example requests, and the tools that answer them:

"Show every Suricata alert involving 192.0.2.15 in the last 24 hours, and which NetBox device owns that IP." This calls malcolm_alerts and malcolm_netbox_lookup.
"Who were the top talkers by protocol over the last hour?" This calls malcolm_aggregate.
"List the executables Zeek carved out of yesterday's traffic, with their hashes." This calls malcolm_file_scans.
"Upload this PCAP, then hunt the stored packets for this string." This calls malcolm_upload_pcap and arkime_create_hunt. Both are write tools, and they are off by default.

A recorded session shows an agent answering a question about Modbus alerts.

Requirements

Python 3.11 or newer.
A Malcolm instance with API access, reachable over HTTPS.
An MCP client.

Quick start

1. Install the server. Then start it with stdin closed. It prints the state of the write classes and exits with code 0.

pip install mcp-server-malcolm

mcp-server-malcolm < /dev/null

[mcp-server-malcolm] write classes: alerting=off arkime-tag=off hunt-job=off pcap-upload=off arkime-view=off

2. Register it with Claude Code. Replace the values with your own.

claude mcp add malcolm \

-e MALCOLM_URL=https://malcolm.example \ -e MALCOLM_USERNAME=analyst \ -e MALCOLM_PASSWORD='your-password' \ -e MALCOLM_SSL_VERIFY=/path/to/malcolm-ca.crt \ -- mcp-server-malcolm

Everything after -- is the launch command. Each -e sets one environment variable for it. A password typed in this command stays in your shell history. The install page shows how to avoid that. It also covers other MCP clients and other ways to install.

3. Check the connection. Ask the agent to call malcolm_ping. If the call fails, read Troubleshooting. A self-signed certificate is the most common cause.

Connection settings

Variable	Default	Meaning
`MALCOLM_URL`	`https://localhost`	Base URL of Malcolm
`MALCOLM_USERNAME`	`admin`	Basic-auth user
`MALCOLM_PASSWORD`	`admin`	Basic-auth password
`MALCOLM_SSL_VERIFY`	`true`	`true`, `false`, or the path of a CA bundle

Malcolm ships a self-signed certificate. For a remote Malcolm, point MALCOLM_SSL_VERIFY at the CA bundle. The certificate must carry a subjectAltName that matches the host name. The certificate that Malcolm's own setup generates has none, so install one that does. Use false only on an isolated lab machine. The configuration page lists every variable.

Read-only by default

The write tools come in five classes, and each class has one flag. The server registers only read tools until you set a flag. A class that is off is not registered. Its tools do not appear in tools/list.

Class	Flag	Tools
alerting	`MALCOLM_MCP_ENABLE_ALERTING`	`malcolm_create_alert`
arkime-tag	`MALCOLM_MCP_ENABLE_ARKIME_TAGS`	`arkime_add_tags`
hunt-job	`MALCOLM_MCP_ENABLE_HUNT_JOBS`	`arkime_create_hunt`, `arkime_cancel_hunt`
pcap-upload	`MALCOLM_MCP_ENABLE_PCAP_UPLOAD`	`malcolm_upload_pcap`
arkime-view	`MALCOLM_MCP_ENABLE_ARKIME_VIEWS`	`arkime_create_view`, `arkime_create_shortcut`

A flag is on only when its value is true. Every write attempt writes one audit line, to stderr or to the file in MALCOLM_MCP_AUDIT_FILE. The security page describes the model.

Tools

The server has 51 read tools. They cover Malcolm filter queries, aggregation, field lookup, Arkime sessions and packets, NetBox, Zeek file scans, saved objects and alerting monitors. The tools page lists them all.

The tool schemas use about 34,000 tokens in every session. To save tokens, set MALCOLM_MCP_DISABLE_READ_GROUPS to the groups you do not need. For example, netbox,dashboards,detections,arkime-inventory leaves 34 tools. See Trimming the read surface.

Non-goals

Version 1 leaves these out on purpose:

Destructive writes (Arkime session delete, tag removal, user management).
Raw OpenSearch write or raw NetBox CRUD passthrough, behind a flag or otherwise.
The streamable-http transport (stdio only).

Repository structure

├── src/mcp_server_malcolm/    # The server

│ ├── server.py # Registers the tools, applies the write gate │ ├── client.py # HTTP client for Malcolm │ ├── config.py # Write-class flags │ ├── audit.py # Audit output │ └── tools/ # Read tools. Write tools are in write/ ├── tests/ # Tests ├── scripts/ │ └── api_parity_check.py # Compares each tool with the Malcolm API ├── docs/ │ ├── install.md # Install, register, other install routes │ ├── container.md # Run in a container │ ├── configuration.md # Connection settings, every variable │ ├── troubleshooting.md # The first call fails │ ├── tools.md # Read tools, write tools, trimming │ ├── security.md # Security model, audit │ ├── usage.md # Demo, filter syntax, examples │ ├── python.md # Use the client from Python │ ├── design.md # Why an MCP layer, protocol notes │ ├── verification.md # Parity check, tested platforms, API endpoints │ └── zh-TW/ # Copy of these pages for README.zh-TW.md ├── Dockerfile # Container image ├── server.json # MCP Registry manifest ├── SECURITY.md # Report a vulnerability ├── CONTRIBUTING.md # How to contribute └── CHANGELOG.md # Changes per version

Development

pip install -e . pytest pytest-asyncio ruff

ruff check src tests ruff format --check src tests pytest

The tests do not need a Malcolm instance. See CONTRIBUTING.md.

License

MIT

MCP Server Malcolm

Überblick

Die drei Säulen von PopNx MCP

Was du damit machen kannst

Installation

Bevor du installierst

Was er kann

Basischecksi

Entwickler passt zum Repo

Wird noch gepflegt

Hat eine Lizenz

Endpunkt antwortet

Anmeldung mit OAuth

Keine versteckten Anweisungen in Tool-Beschreibungen

Im Vergleich mit anderen in Sonstigesi

Häufige Fragen

Alternativen

Spec Driven Development

Remote Desktop Commander

Master CSS

README vom Entwickler

Requirements

Quick start

[mcp-server-malcolm] write classes: alerting=off arkime-tag=off hunt-job=off pcap-upload=off arkime-view=off

Connection settings

Read-only by default

Tools

Non-goals

Repository structure

Development

License