MCP 服务器 - Hilt Documentation

Hilt 查询服务内置了一个 Model Context Protocol（MCP）服务器。它提供与 Query 页面相同的工具——15 个遥测工具、敏感清单工具，加上 2 个文档工具——因此任何兼容 MCP 的客户端（Cursor、Claude Desktop 或你自己的 agent）都可以直接针对你的 Hilt 数据搜索事件、调查异常、起草检测规则和查阅 Hilt 的工作原理。

MCP 服务器目前处于抢先体验阶段。它旨在由授权操作人员在你的安全环境中使用。请联系你的客户团队获取访问权限和配置指南。

功能

MCP 服务器通过 15 个遥测工具、敏感清单工具和 2 个文档工具提供只读访问：

发现与事件

工具	功能描述
`list_hosts`	列出受监控主机及其最后活跃时间
`search_events`	使用过滤器（事件类型、命令、身份、目的地、文件前缀）搜索原始内核遥测数据
`get_event_detail`	通过复合键获取单个事件的完整载荷
`summarize_activity`	高级计数：事件类型、总事件数、唯一用户/进程/主机数

进程与用户

工具	功能描述
`get_process_tree`	指定主机和时间窗口的父子进程层级结构
`get_process_events`	单个进程的所有行为：文件、网络、子进程
`list_users`	活跃用户及其事件计数和主机访问模式
`user_activity`	某个身份的详细活动：文件、进程、连接

异常与调查

工具	功能描述
`get_anomaly_alerts`	超过检测阈值的策划警报
`get_anomaly_scores`	按检测组划分的每 epoch 异常评分
`get_alert_context`	警报周围时间窗口内的原始事件
`investigate_alert`	一次调用的调查包：活动摘要、进程树、网络流和异常评分

数据流

工具	功能描述
`get_network_flows`	聚合的连接摘要：哪些进程访问了哪些目的地、传输字节数
`get_file_activity`	文件读取、打开、删除、重命名和权限变更，可按路径前缀过滤

检测规则

工具	功能描述
`build_detection_rule`	验证检测规则草案并返回。不会保存规则。请前往告警 → Rules标签页审阅并创建

敏感清单

工具	功能描述
`list_sensitive_objects`	列出敏感清单上的对象——你标记为敏感的文件路径、目标地址、人员和主机——并附上每条记录的敏感级别和分类。可按类型筛选，或搜索匹配模式与标签

在 Query 页面上，该工具需要 manage_alerts 权限，与仪表板中查看敏感清单所需的权限相同。MCP 会话不与仪表板用户绑定，因此读取该清单时不做此项检查——这也是应将 MCP 访问视为操作人员级别权限的又一原因。

文档

这些工具回答产品和操作指南类的问题（“Hilt 如何工作”），内容来自你的部署中打包的文档。它们不包含客户数据，完全离线工作。

工具	功能描述
`search_docs`	搜索 Hilt 产品文档并返回排序后的章节及其页面路径和小节，用于引用
`get_doc_page`	按路径返回文档页面的完整文本（或单个小节）

客户端配置

典型的 MCP 客户端条目（Cursor、Claude Desktop 或类似工具）：

{
  "mcpServers": {
    "hilt": {
      "command": "/path/to/hilt-query",
      "env": {
        "MODE": "mcp"
      }
    }
  }
}

请联系你的客户团队获取适用于你部署的正确二进制路径和环境配置。

示例提示

连接后，你可以向 AI 助手提出如下问题：

“过去 24 小时内有哪些主机处于活跃状态？”
“显示 web-01 到外部目的地的网络流”
“调查最新的异常警报。发生了什么？”
“列出今天 prod-db-03 上 /etc/ 下的所有文件活动”
“起草一条检测规则，用于午夜后连接到新外部 IP 的进程”

验证服务器

你可以使用 JSON-RPC 握手来进行冒烟测试：

MODE=mcp ./hilt-query <<'EOF'
{"jsonrpc":"2.0","id":1,"method":"initialize","params":{}}
{"jsonrpc":"2.0","id":2,"method":"tools/list"}
EOF

健康的服务器会返回握手响应和工具目录。