bx33661/wireshark-mcp

Wireshark MCP

Дайте своему ИИ-ассистенту анализатор пакетов.

Откройте файл .pcap, задайте вопросы на простом английском — получите ответы, подкреплённые реальными данными [[T1].

Английский • 中文 • Документы • Changelog • Дорожная карта • Вклад

---

Что это?

MCP-сервер, который объединяет tshark (и опциональные инструменты Wireshark suite) в структурированный аналитический интерфейс. Работает с Claude Desktop, Claude Code, Cursor, VS Code и 18+ другими клиентами MCP.

---

Установка

Маршрут плагина Claude Code / Codex

Требования: uv и Wireshark CLI (tshark). Плагин включает этот проект и оба навыка; клиент запускает заблокированный проект на Python через UV через stdio. Он не устанавливает драйверы Wireshark или захвата.

Из кассы, содержащей эти манифесты плагинов, выберите своего клиента:

См. распределение плагинов для локальной установки, обновления старой версии, настроек среды и входной точки GitHub после публикации. Выберите этот путь или традиционный путь регистрации ниже, а не оба.

Традиционный маршрут пакета на Python

Требования: Python 3.10+ и Wireshark с tshark на PATH.

Wireshark MCP 3.0 использует стабильный MCP Python SDK 2.

---

What is this?

An MCP server that wraps tshark (and optional Wireshark suite tools) into a structured analysis interface. Works with Claude Desktop, Claude Code, Cursor, VS Code, and 18+ other MCP clients.

You:    "Find all DNS queries going to suspicious domains in this capture."
Claude: [calls wireshark_extract_dns_queries → wireshark_detect_dns_tunnel]
        "Found repeated high-entropy DNS queries consistent with tunneling: ..."

New in 4.0

• Capture index. With the optional [index] extra, wireshark_index dissects a capture once into a local DuckDB file. Later wireshark_aggregate and wireshark_extract_fields calls read it with answers identical to tshark: 408× faster at 1 GB, and at 10 GB it answers questions the tshark path stops on. It also adds read-only SQL, capture sets, first-seen timelines, capture or window diffs and Parquet export. See Capture index.
• One finding shape. Every detector returns data.findings with a stable id, evidence anchors, a native tshark command to re-check it and candidate ATT&CK techniques.
• Case files. wireshark_case keeps captures, recorded results, findings and analyst verdicts in a JSON case file, so a long investigation survives a context reset. See Findings and cases.