EventWhisper は、MCP (Model Context Protocol) サーバーを介して、Windows [[[.evtx]ログに高速でスクリプト可能なアクセスを公開します。 これは、PowerShell wrapperの代わりに、純粋なPython(evtxライブラリを使用します)で、インシデントレスポンス、デジタルフォレンジック、および脅威ハンティングに対するコマンドを実行しません。

サーバは2つのプライマリツールを公開します。

• 任意のディレクトリのEVTXファイル(オプションで再帰)をリストします。
• 特定のレコードを直接検索するためのフィルタイベント。

IR/DFIR&ハンティング用に特別に構築されたので、イベントIDを一日中調べる必要はありません。 Claude で Windows 上で設計、開発、テスト、MCP クライアントから使用可能。

お問い合わせ

##特徴

-ターゲティングフィルタリング:タイムウィンドウ、EventID(s)、ケースインセンティブキーワード(include/exclude) -Fieldの投影:必要な点数のパスだけを戻して下さい(出力減少を囲んで下さい)

• 入力正規化:タイプ/フォーマットが完璧でない場合でも、柔軟な入力フォーマットを受け入れます。 -MCP-ready:Claudeデスクトップ(およびその他のMCPクライアント)に接続

お問い合わせ

デモ

[https://github.com/user-attachments/assets/e1878c86-56f6-466b-bbc4-04d1edeeb36b]

お問い合わせ

要件(Windows)

EventWhisper — A Windows Event Log MCP

EventWhisper exposes fast, scriptable access to Windows .evtx logs via an MCP (Model Context Protocol) server. It’s pure Python (uses the evtx library), instead of a PowerShell wrapper and does not execute commands on the host — safer for incident response, digital forensics, and threat hunting.

The server exposes two primary tools:

• List EVTX files (optionally recursive) for any directory.
• Filter events to directly search for specific records.

Built specifically for IR/DFIR & hunting so you don’t need to look up Event IDs all day. Designed, developed, and tested on Windows with Claude — and usable from any MCP client.

---

Features

• Targeted filtering: time window, EventID(s), and case-insensitive keywords (include/exclude)
• Field projection: return only the dotted paths you need (huge output reduction)
• Input normalization: accepts flexible input formats so it still works if types/format aren’t perfect.
• MCP-ready: plugs into Claude Desktop (and other MCP clients)

---

Demo

https://github.com/user-attachments/assets/e1878c86-56f6-466b-bbc4-04d1edeeb36b

---

Requirements (Windows)

EventWhisper can be set up with Poetry, whether you run it inside Claude or standalone. On Windows, make sure Poetry is on your PATH.

Install Poetry (PowerShell):

(Invoke-WebRequest -Uri https://install.python-poetry.org -UseBasicParsing).Content | py -

Add Poetry to PATH (user install):

C:\Users\\AppData\Roaming\Python\Scripts

Verify:

poetry --version

---

Install & Run

Primarily developed for use with Claude, but you can run the MCP server standalone and plug it into other LLMs.

Clone and install:

git clone https://github.com/hexastrike/eventwhisper
cd eventwhisper
poetry install

Run the MCP server:

poetry run python -m eventwhisper.mcp.server
# (or) plain Python if deps are installed globally:
python -m eventwhisper.mcp.server

---

Claude MCP configuration

Add this to Claude Desktop’s MCP config (e.g., %AppData%\Claude\claude_desktop_config.json):

{
  "mcpServers": {
    "EventWhisper": {
      "type": "stdio",
      "command": "poetry",
      "args": [
        "-C",
        "C:\\Path\\To\\eventwhisper",
        "run",
        "python",
        "-m",