bx33661/wireshark-mcp

ワイヤーシャークMCP

AIアシスタントにパケットアナライザーを用意してください。

.pcapファイルを投函し、平易な英語で質問をすれば—実際のtsharkデータに基づいた回答が得られます。

英語 • 中文 • ドキュメント • 変更ログ • ロードマップ • 貢献

---

これは何だ?

tshark(およびオプションのWiresharkスイートツール)を構造化された解析インターフェースにラップするMCPサーバー。Claude Desktop、Claude Code、Cursor、VS Code、その他18+のMCPクライアントで動作します。

---

インストール

Claudeコード/Codexプラグインルート

前提条件:uvおよびWireshark CLI(tshark)。このプラグインにはこのプロジェクトと両方のスキルが含まれています。クライアントはロックされたPythonプロジェクトをstdio経由でuv経由で実行します。Wiresharkやキャプチャドライバーはインストールしません。

これらのプラグインマニフェストを含むチェックアウトから、クライアントを選択します:

ローカルインストール、旧バージョンのリフレッシュ、環境設定、GitHubの公開後のエントリーポイントについてはプラグインディストリビューションをご覧ください。このルートか、以下の従来の登録ルートを選び、両方は選ばないでください。

従来のPythonパッケージルート

前提条件: Python 3.10+とWireshark、PATH上のtshark。

Wireshark MCP 3.0は安定したMCP Python SDK 2を使用しています。

---

What is this?

An MCP server that wraps tshark (and optional Wireshark suite tools) into a structured analysis interface. Works with Claude Desktop, Claude Code, Cursor, VS Code, and 18+ other MCP clients.

You:    "Find all DNS queries going to suspicious domains in this capture."
Claude: [calls wireshark_extract_dns_queries → wireshark_detect_dns_tunnel]
        "Found repeated high-entropy DNS queries consistent with tunneling: ..."

New in 4.0

• Capture index. With the optional [index] extra, wireshark_index dissects a capture once into a local DuckDB file. Later wireshark_aggregate and wireshark_extract_fields calls read it with answers identical to tshark: 408× faster at 1 GB, and at 10 GB it answers questions the tshark path stops on. It also adds read-only SQL, capture sets, first-seen timelines, capture or window diffs and Parquet export. See Capture index.
• One finding shape. Every detector returns data.findings with a stable id, evidence anchors, a native tshark command to re-check it and candidate ATT&CK techniques.
• Case files. wireshark_case keeps captures, recorded results, findings and analyst verdicts in a JSON case file, so a long investigation survives a context reset. See Findings and cases.