Wazuh OpenSearch Analytics

🚀 OpenSearch MCP サーバー

OpenSearchに格納されたWazuhセキュリティログをクエリし、分析するためのModel Context Protocol (MCP) サーバーです。

✨ 主な機能

• 高度なフィルタ機能を備えたセキュリティアラートの検索
• 特定のアラートの詳細情報の取得
• セキュリティイベントの統計情報の生成
• アラートの時間的トレンドの可視化
• 長期操作の進捗報告
• 構造化されたエラー処理

📦 インストール

前提条件

• Node.js v16 以上
• Wazuhセキュリティログを含むOpenSearchインスタンスへのアクセス

インストール方法

オプション1：GitHubから直接npxを使用する（推奨）

リポジトリをクローンすることなく、npxを使ってこのツールを直接実行できます。

# GitHubの最新バージョンを実行
npx github:jetbalsa/mcp-opensearch-js

# デバッグモードを有効にする
npx github:jetbalsa/mcp-opensearch-js --debug

# 特定のブランチまたはコミットを指定することもできます
npx github:jetbalsa/mcp-opensearch-js#main

オプション2：ローカルインストール

1. このリポジトリをクローンします。

git clone https://github.com/jetbalsa/mcp-opensearch-js.git
cd mcp-opensearch-js

2. 依存関係をインストールします。

npm install

3. 環境変数を設定します。

cp .env.example .env

4. .envファイルをOpenSearchの接続詳細で編集します。

OPENSEARCH_URL=https://your-opensearch-endpoint:9200
OPENSEARCH_USERNAME=your-username
OPENSEARCH_PASSWORD=your-password
DEBUG=false

💻 使用例

サーバーの起動

サーバーを起動する

npm start

これにより、stdioモードでサーバーが起動します。

デバッグログを有効にする

npm run stdio:debug

MCP CLIでテストする

npm run dev

これにより、サーバーが起動し、MCP CLIツールを使用して対話的なテストが行われます。

MCP Inspectorでテストする

npm run inspect

これにより、サーバーが起動し、MCP Inspectorに接続して可視化デバッグが行われます。

サーバーツール

このサーバーは以下のツールを提供します。

1. アラートの検索

Wazuhデータ内でセキュリティアラートを検索します。 パラメータ：

• --search：検索するキーワードまたは条件を指定します。
• --filter：高度なフィルタ（時間範囲、ログレベルなど）を適用します。
• -o, --output：出力形式（JSON、CSV、テキストなど）を指定します。

2. アラートの詳細情報の取得

特定のアラートの詳細情報を取得します。 パラメータ：

• --id：検索するアラートのIDを指定します。
• --fields：表示するフィールドをカンマ区切りで指定します。
• -v, --verbose：詳細モードを有効にし、より多くの関連情報を表示します。

3. 統計情報の生成

セキュリティイベントの統計情報を生成します。 パラメータ：

• --time-range：時間範囲を指定します（形式：YYYY-MM-DD HH:MM:SS）。
• --aggregation：集計方法（時間、日、週など）を指定します。
• -s, --summary：集計結果を表示します。

4. トレンドの可視化

アラートの時間的トレンドを可視化します。 パラメータ：

• --start-time：開始時間を指定します。
• --end-time：終了時間を指定します。
• -f, --format：出力形式（グラフ、表など）を指定します。

具体的な使用例

MCP CLIツールを使用する場合

# アラートを検索する
mcp-cli search --keyword "error" --output json

# アラートの詳細情報を取得する
mcp-cli get --id 12345 --verbose

# 統計情報を生成する
mcp-cli stats --time-range "2023-10-01 00:00:00" "2023-10-07 23:59:59" --summary

# トレンドを可視化する
mcp-cli trends --start-time "2023-10-01" --end-time "2023-10-07" --format chart

クライアントを使用する場合

const { MCPClient } = require('mcp-opensearch');
const client = new MCPClient({
  host: 'localhost',
  port: 9200,
  username: 'your-username', // オプション
  password: 'your-password'  // オプション
});

// アラートを検索する
client.search({ keyword: 'error' }, (err, result) => {
  if (err) return console.error(err);
  console.log(result);
});

// アラートの詳細情報を取得する
client.get({ id: '12345' }, (err, result) => {
  if (err) return console.error(err);
  console.log(result);
});

クライアントを使用する方法

このサーバーをクライアントとして使用するには、以下の手順に従ってください。

依存関係のインストール

npm install mcp-opensearch

MCPサーバーに接続する

const { MCPClient } = require('mcp-opensearch');
const client = new MCPClient({
  host: 'localhost',
  port: 9200,
  username: 'your-username', // オプション
  password: 'your-password'  // オプション
});

サンプルコード

// アラートを検索する
client.search({ keyword: 'error' }, (err, result) => {
  if (err) return console.error(err);
  console.log('Search Result:', result);
});

// アラートの詳細情報を取得する
client.get({ id: '12345' }, (err, result) => {
  if (err) return console.error(err);
  console.log('Alert Details:', result);
});