EventWhisper предоставляет быстрый доступ к журналам Windows .evtx через сервер MCP (Model Context Protocol). Это чистый Python (использует библиотеку T1), вместо обертки PowerShell и не выполняет команды на хосте — безопаснее для реагирования на инциденты, цифровой криминалистики и охоты за угрозами.

Сервер предоставляет два основных инструмента:

Перечислите файлы EVTX (необязательно рекурсивные) для любого каталога. Фильтруйте события для непосредственного поиска конкретных записей.

Создан специально для IR / DFIR и охоты, поэтому вам не нужно искать идентификаторы событий весь день. Разработан, разработан и протестирован на Windows с Claude и может использоваться любым клиентом MCP.

Особенности

-Целевая фильтрация: временное окно, EventID(ы) и ключевые слова, чувствительные к регистру (включают/исключают) Проекция поля: возвращайте только точечные пути, которые вам нужны (огромное сокращение выхода) ** Нормализация ввода**: принимает гибкие форматы ввода, поэтому он по-прежнему работает, если типы/формат не идеальны. MCP-ready: подключается к Claude Desktop (и другим MCP-клиентам)

Демо

[[Т2]]

Требования (Windows)

EventWhisper — A Windows Event Log MCP

EventWhisper exposes fast, scriptable access to Windows .evtx logs via an MCP (Model Context Protocol) server. It’s pure Python (uses the evtx library), instead of a PowerShell wrapper and does not execute commands on the host — safer for incident response, digital forensics, and threat hunting.

The server exposes two primary tools:

• List EVTX files (optionally recursive) for any directory.
• Filter events to directly search for specific records.

Built specifically for IR/DFIR & hunting so you don’t need to look up Event IDs all day. Designed, developed, and tested on Windows with Claude — and usable from any MCP client.

---

Features

• Targeted filtering: time window, EventID(s), and case-insensitive keywords (include/exclude)
• Field projection: return only the dotted paths you need (huge output reduction)
• Input normalization: accepts flexible input formats so it still works if types/format aren’t perfect.
• MCP-ready: plugs into Claude Desktop (and other MCP clients)

---

Demo

https://github.com/user-attachments/assets/e1878c86-56f6-466b-bbc4-04d1edeeb36b

---

Requirements (Windows)

EventWhisper can be set up with Poetry, whether you run it inside Claude or standalone. On Windows, make sure Poetry is on your PATH.

Install Poetry (PowerShell):

(Invoke-WebRequest -Uri https://install.python-poetry.org -UseBasicParsing).Content | py -

Add Poetry to PATH (user install):

C:\Users\\AppData\Roaming\Python\Scripts

Verify:

poetry --version

---

Install & Run

Primarily developed for use with Claude, but you can run the MCP server standalone and plug it into other LLMs.

Clone and install:

git clone https://github.com/hexastrike/eventwhisper
cd eventwhisper
poetry install

Run the MCP server:

poetry run python -m eventwhisper.mcp.server
# (or) plain Python if deps are installed globally:
python -m eventwhisper.mcp.server

---

Claude MCP configuration

Add this to Claude Desktop’s MCP config (e.g., %AppData%\Claude\claude_desktop_config.json):

{
  "mcpServers": {
    "EventWhisper": {
      "type": "stdio",
      "command": "poetry",
      "args": [
        "-C",
        "C:\\Path\\To\\eventwhisper",
        "run",
        "python",
        "-m",