Verbinden Sie Syslog- und journald-Protokolle mit Claude mithilfe von MCP.

MCP · Systemprotokolle an Claude

Fragen Claude über Ihre Systemprotokolldatei, in einfachem Englisch

Verbinden Sie Claude, Claude Code, Cursor oder einen beliebigen MCP-Client einmalig mit Query Streams. Claude liest die Struktur Ihrer Systemprotokolldatei, schreibt die SQL-Anweisung, führt sie schreibgeschützt über den Agenten aus, der bereits mit Ihren Daten arbeitet, und liefert die Ergebnisse. Das Datenbankpasswort gelangt niemals an die KI. Der Vorgang dauert etwa zehn Minuten und ist im kostenlosen Plan enthalten.

Ungefähr 10 Minuten Claude, ChatGPT, Cursor + 11 weitere Kunden Die Datei bleibt an ihrem Speicherort. Schreibgeschützt, immer

Was am Ende dabei herauskommt

A Claude that can answer questions about your Linux and Unix system logs with live, read-only queries over the tables the Agent builds from your files, and tell you which file each answer came from — without ever seeing a login or a file path, and without a firewall change: the Agent already inside your network reads the folder and sends back only the rows. Once the Agent is in place, connecting Claude takes about 90 seconds if you are comfortable with a settings screen. Like this:

Claude · verbunden mit Abfrageströmen Schreibgeschützt

Auf welchen Hosts traten in der letzten Stunde fehlgeschlagene SSH-Anmeldeversuche auf?

qs_get_table_schema qs_run_query Schema-Intelligenz

Claude liest die Kolumnen von fileset.eventsDann wird eine Abfrage für Zeilen ausgeführt, in denen Programm ist sshd und Nachricht erwähnt ein fehlgeschlagenes Passwort oder einen ungültigen Benutzer in der letzten Stunde Ereigniszeit:

Gastgeber	Programm	Nachricht
web-01	sshd	Falsches Passwort für den ungültigen Benutzer „admin“ von 203.0.113.45 Port 51122 SSH2
web-01	sshd	Fehlgeschlagenes Passwort für root von 198.51.100.7 Port 40418 ssh2
db-02	sshd	Ungültiger Benutzer oracle von 203.0.113.45 Port 33890

Die Adresse 203.0.113.45 versuchte, zwei Hosts zu erreichen. Bitten Sie Claude, die Versuche pro Quelladresse über alle Hosts hinweg zu zählen. Die Antwort gibt an, was der Agent bei seinem letzten Scan erfasst hat.

Are the failed SSH logins a spray across hosts or aimed at one? Give me the top sources.

qs_run_query qs_run_query

I pulled the source address out of the sshd messages in fileset.events and counted attempts and distinct hosts per address:

Source IP	Hosts hit	Attempts	First seen
203.0.113.45	3 of 3	8,412	02:10
198.51.100.7	1	940	05:30
192.0.2.19	1	61	11:02

One address is doing almost all of it, against every host, since 02:10, cycling through usernames. No Accepted password line matches any of the three, so nothing got in. Block 203.0.113.45 at the firewall and the noise stops.

Nur SELECT, geprüft vom Agenten Im MCP-Aktivitäts-Tab angemeldet 6 rows returned across 3 queries

Rather not wire up an AI client at all? On the Business plan, Nova is the assistant built into Query Streams itself. It has every tool Claude gets here, plus the ones Claude does not: it drafts and validates the SQL against your Schema Intelligence model, turns the answer into a chart, and saves the result as a query your team can run from Excel, Google Sheets or the REST API — no key, no connector, nothing to install. Use MCP when your people already live in Claude, Cursor or ChatGPT; use Nova when you want the answers inside the Portal.

System Logs liest Linux-Syslog-Dateien wie syslog, messages und auth.log sowie journald-Exportdateien. Jede Zeile wird in eine SQL-Zeile mit Host, Programm, PID und Meldung umgewandelt, sodass Claude die Fragen beantworten kann, die Sie sonst an grep oder journalctl stellen würden. Der Agent überwacht jede Datei während ihres Wachstums, erkennt rotierte Dateien, sodass nichts doppelt gelesen wird, und liest jede Zeile. .gz Die Daten werden einmal archiviert und beim ersten Lesen die letzten 30 Tage nachgeladen.

Was Sie benötigen

Ein Query Streams-Konto

MCP ist in allen Tarifen enthalten, auch in der kostenlosen Version. Die kostenlose Version erlaubt einen Schlüssel oder eine verbundene App – mehr benötigt dieser Leitfaden nicht. Melden Sie sich an unter mein.querystreams.de.

Der Agent auf einem Computer, der den Ordner öffnen kann

Version 2.6.0 oder höher. Der Ordner kann sich auf diesem Computer oder auf einer erreichbaren Dateifreigabe befinden. Der Agent läuft als Dienst, daher geben Sie Freigaben als … ein. \\server\share\folder, nicht als zugeordneter Laufwerksbuchstabe. Neu beim Agenten? Installieren Sie es unter Windows, macOS oder Linux.

MCP ist für Sie aktiviert

Ersteller, Eigentümer und Administratoren haben von Anfang an Zugriff darauf. Alle anderen benötigen einen Administrator, der die Einstellungen ändert. MCP Schalter neben ihrem Namen unter Konto → ZugriffskontrolleBis dahin heißt es auf der MCP-Seite: „MCP ist für Ihr Konto deaktiviert.“

Ein KI-Client

Claude im Web, Claude Desktop oder die Claude-Mobil-Apps verbinden sich ohne Schlüssel. Claude Code, Cursor, ChatGPT und etwa zehn weitere Tools funktionieren ebenfalls; das Portal bietet für jedes Tool eine vorkonfigurierte Konfiguration.

Richten Sie es in vier Schritten ein

1. Richten Sie den Agenten auf den Ordner aus.

   Im Portal geöffnet Daten → DatenagentenSuchen Sie den Agenten, der den Ordner öffnen kann, und klicken Sie darauf. Anschluss hinzufügen Schaltfläche. Unterhalb der Dateien und Ordner Klicken Sie auf die Pille. Systemprotokolle Karte. Der Zauberer führt Sie dann durch Ordner, Überprüfen, Einstellungen, Reich und Rezension:

   Ordner

   Geben Sie die Stammverzeichnisse, einer pro Zeile, als Pfade auf dem Computer des Agenten. Unterordner scannen ist eingeschaltet, Maximale Tiefe ist 8. Muster einbeziehen beginnt mit dem richtigen Glob für diesen Dateityp; hinzufügen Ausschlussmuster Wenn der Ordner Dateien enthält, die Sie nicht benötigen. Ein zugeordneter Laufwerksbuchstabe wird mit einer gelben Warnung angezeigt: Der Agent kann ihn nicht erkennen, verwenden Sie daher den \\server\share stattdessen den Pfad.

   Überprüfen

   Der Agent liest eine Stichprobe von bis zu 64 Dateien und zeigt an, was er erstellen wird. Es wird noch nichts erstellt. Bereit zum Erstellen Das bedeutet, dass jede Stichprobendatei passt. Ein gelbes Banner mit der Aufschrift „{n} von {m} Dateien werden beiseitegelegt“ listet die Dateien auf, die nicht passen. Zeigen Sie, welche Dateien und warumSie können den Konnektor trotzdem erstellen und ihn später korrigieren. Wenn der Ordner verschiedene Layouts enthält, wird ein blaues Bedienfeld angezeigt. Wechseln Sie zu einer Tabelle pro Layout.

   Einstellungen

   Scanintervall (Standardmäßig stündlich, von alle 5 Minuten bis täglich) ist die Häufigkeit, mit der der Agent nach neuen, geänderten und verschwundenen Dateien sucht. Ordner auf Änderungen überwachen Reagiert innerhalb von Sekunden auf lokalen Festplatten. Wenn eine Datei verschwindet Ist Entferne die Zeilen standardmäßig.

   Realm, Rezension

   Wählen Sie den Datenbereich aus, für den die Zeilen gezählt werden, überprüfen Sie die Zusammenfassung und klicken Sie auf Konnektor erstellenDer erste Scan startet sofort; der Anschluss Manifest Der Tab zeigt an, was erstellt wurde und welche Dateien beiseitegelegt wurden.

   • Fügen Sie Ihren Protokollordner hinzu unter Stammverzeichnisse. Muster einbeziehen beginnen mit **/syslog*, **/messages* und **/auth.log*.
   • Wähle ein Protokolltyp: RFC 3164 (BSD), RFC 5424 oder journald-Export. Binär. .Zeitschrift Dateien werden übersprungen.
   • Tabellenname ist optional und hat den Standardwert Veranstaltungen. Ereignisse für N Tage speichern Standardwert ist 60.
   • An ÜberprüfenDer Agent liest eine Beispieldatei und zeigt die Anzahl der Dateien, die Größe, die geschätzte Zeilenanzahl und die zu erstellenden Tabellen an. Es werden noch keine Tabellen erstellt. Falls die Dateien nicht dem ausgewählten Typ entsprechen, wird folgende Meldung angezeigt: Diese Dateien sind nicht gefolgt von dieser Art, mit der Begründung.

2. Schau dir an, welche Tabellen du erhältst

   Geparste Zeilen landen in fileset.eventsoder in der Tabellenname Sie haben die Wahl. Der Agent speichert die Zeilen in einem lokalen Cache auf dem Agentenrechner und stellt sie als SQL bereit. Jede Zeile gibt an, aus welcher Datei sie stammt. _QuelldateiDie folgenden Spalten stammen aus dem Standard-Protokolltyp gemäß RFC 3164. Es gibt keine Spalte für Einrichtung oder Schweregrad.

   Tisch	Was es enthält
   Veranstaltungen	Eine Zeile pro Zeile: Ereigniszeit, Gastgeber, Programm, PID und NachrichtRFC 5424 gibt pri, App, procid, msgid, sd und Nachricht stattdessen.
   Ereignisse_Rohlinien	Zeilen, die nicht analysiert wurden, wurden beibehalten Linie mit einem Grund wie zum Beispiel keine Grammatikübereinstimmung oder undekodierbarNichts wird fallen gelassen.
   Dateien	Alle Logdateien im Ordner, die sich aktuell befinden, relativer Pfad, Größe_Bytes und modifiziert_utc.
   Dateien_Ereignisse	Die Historie jeder Datei: erschien, modifiziert, gedreht, gekürzt und Drift Zeilen, gemessen von event_at.
   log_cursors	Die Leseposition und der Status jeder Datei. Eine reservierte Datei zeigt den Status an. geparkt mit dem Grund in letzter Fehler.

   Jeder Ordnerverbinder liefert Claude außerdem dieselben Buchhaltungstabellen, alle im Dateisatz Schema:

   Tisch	Was es enthält
   Dateien	Alle Dateien im Ordner: Pfad, Name, Dateiendung, Größe, Erstellungs- und Änderungsdatum. Fragt man „Was befindet sich in diesem Ordner?“, liest Claude dies vor.
   Dateien_Ereignisse	Die Änderungshistorie: eine Zeile pro Datei, die hinzugefügt, geändert, entfernt oder beiseitegelegt wurde (Drift), mit der Zeit in event_at und der Grund dafür Detail.
   Verzeichnisse, Bände	Ordnergrößen und -anzahlen sowie die Datenträger oder Freigaben, auf denen die Stammverzeichnisse liegen.
   _Quelldatei, _row_id	Jede Datenzeile enthält zwei Spalten: die Datei, aus der die Zeile stammt, und eine eindeutige Zeilen-ID innerhalb dieser Datei. Gruppieren nach _Quelldatei um Dateien zu vergleichen.

3. Verbinde dich mit Claude

   Öffnen Streams → Live → MCPEs gibt zwei Wege hinein, und sie enden am selben Ort:

   Chat-Apps · keine Taste

   claude.ai, Claude Desktop, ChatGPT

   In Claude, Query Streams is in the Anthropic Connectors Directory: browse connectors, click Verbinden. Elsewhere you paste one address into the app, https://mcp.querystreams.com/mcpund stellen Sie eine Verbindung über einen Chat her. Es öffnet sich eine Seite mit Abfragestreams. Sie wählen die Organisation und die Berechtigungen aus und klicken auf Verbindung genehmigenNichts zu kopieren, nichts geheim zu halten. Die Verbindung erscheint unter Verbundene Apps und kann dort widerrufen werden.

   Entwicklertools · ein Schlüssel

   Claude Code, Cursor, VS Code und Freunde

   An Meine Schlüssel klicken Schlüssel generierenGib ihm ein Schlüsselname wie zum Beispiel „Claude Code auf meinem Laptop“, behalten Sie Lesen und Ausführen Wenn Sie ein Häkchen gesetzt haben, wählen Sie eine Ablauf (Nie, 30 Tage, 90 Tage oder 1 Jahr) und klicken Schlüssel generierenKopiere es dann Installation fortsetzen: Die Verbinden Der Tab zeigt den genauen Codeausschnitt für Ihr Tool, wobei der Schlüssel bereits ausgefüllt ist.

   Beide Methoden verwenden dieselben drei Berechtigungen, die Sie entweder auf dem Zustimmungsbildschirm oder auf dem Schlüssel auswählen:

   Lesen

   Listen Sie Konnektoren auf, durchsuchen Sie Tabellen und Spalten, lesen Sie Ihre gespeicherten Abfragen und Benachrichtigungsregeln. Es werden niemals Zeilendaten zurückgegeben.

   Ausführen

   Führen Sie schreibgeschützte SQL-Abfragen und gespeicherte Abfragen über Ihren Agenten aus und geben Sie die Zeilen zurück. Ohne diese kann Claude Ihre Daten zwar beschreiben, aber keine Antworten darauf geben.

   Analysieren

   Tabellenprofile erstellen, Beziehungen ermitteln und einen Schema Intelligence-Lauf in die Warteschlange stellen. Dies verbraucht Nova AI-Credits und Datenvolumen, sodass die Zustimmungsabfrage diese Option nicht vorauswählt.

   Schlüssel verloren? Öffnen Meine SchlüsselDas Augensymbol zeigt es erneut an und Vollständigen Schlüssel kopieren Kopiert es. Entzieht es dort, wenn ein Laptop verloren geht; jeder Client, der es benutzt, schlägt beim nächsten Anruf innerhalb von etwa fünf Minuten fehl.

   Wählen Sie dann das Rezept für den Claude aus, den Sie verwenden möchten. Die Serveradresse ist überall dieselbe: https://mcp.querystreams.com/mcp.

   Claude im Web, Claude Desktop und Mobilgeräte kein Schlüssel

   1. Öffnen Einstellungen → Konnektoren und klicken Sie Konnektoren durchsuchen. Query Streams is listed in the Anthropic Connectors Directory: find Abfrageströme und klicken Sie Verbinden. (Or open the directory listing directly and click Verbinden there.)
   2. If your organization hides directory connectors, click Benutzerdefinierten Konnektor hinzufügen instead. Name it Abfrageströme, Paste https://mcp.querystreams.com/mcp, leave the OAuth fields empty, click Hinzufügen, then in any chat click + → Konnektoren durchsuchen → Abfrageströme → Verbinden.
   3. Es öffnet sich ein Tab „Abfrageströme“. Melden Sie sich gegebenenfalls an, wählen Sie die Organisation aus und überprüfen Sie die Abfrage. Lesen und Ausführenoptional Beschränkung auf bestimmte Anschlüsseund klicken Sie Verbindung genehmigen.
   4. Zurück in Claude sehen Sie „Mit Abfrageströmen verbunden“. Wenn Claude zum ersten Mal ein Tool verwendet, werden Sie gefragt; wählen Sie Immer erlauben.

   If you do add it by hand in Claude Desktop, use Einstellungen → Konnektoren → Hinzufügennicht der Chat Marktplatz hinzufügen option, which expects a git repository. Connectors sync to your Claude account, so the mobile apps and Desktop pick it up automatically. Menu names are Anthropic’s and can move.

   Claude Code Schlüssel

   Ein Befehl, mit Ihrem Schlüssel aus „Meine Schlüssel“:

   Terminal

   claude mcp add --transport http querystreams https://mcp.querystreams.com/mcp \ --header "X-MCP-Key: qsmcp_PASTE_YOUR_KEY_HERE"

   Das schreibt das aktuelle Projekt. .mcp.json. Hinzufügen --scope Benutzer Query Streams in jedem Projekt haben. Ausführen /mcp Im Claude-Code sehen Sie, ob die Verbindung besteht.

   Cursor Schlüssel

   Öffnen Cursor-Einstellungen → MCP → Neuen MCP-Server hinzufügenoder bearbeiten .cursor/mcp.json im Stammverzeichnis Ihres Arbeitsbereichs:

   .cursor/mcp.json

   { "mcpServers": { "querystreams": { "url": "https://mcp.querystreams.com/mcp", "headers": { "X-MCP-Key": "qsmcp_PASTE_YOUR_KEY_HERE" } } } }

   Cursor neu starten oder ausführen MCP: Server neu starten; A Abfrageströme Das Symbol erscheint in der MCP-Statusleiste.

   Etwas anderes verwenden? Der Verbinden Registerkarte enthält sofort einsatzbereite Rezepte für ChatGPT, VS Code, Visual Studio, OpenAI Codex CLI, Gemini CLI, Windsurf, Zed, Cline, Continue.dev und JetBrains AI sowie ein Einfügen und Zusammenführen Werkzeug, das die Abfrageströme Eintrag in eine bereits vorhandene Konfigurationsdatei. Jeder Client, der MCP über HTTP unterstützt, funktioniert: Server https://mcp.querystreams.com/mcp, Kopfzeile X-MCP-Schlüssel (ein Autorisierung: Inhaber (Auch eine Kopfzeile mit demselben Schlüssel funktioniert.)

4. Stelle deine erste Frage

   Beginnen Sie mit etwas, das Sie durch Öffnen des Ordners überprüfen können, sodass Sie sehen, wie Claude die richtige Tabelle auswählt. Drei Beispiele, die gut mit Ihren Linux- und Unix-Systemprotokollen funktionieren:

   „Welche Systemprotokolldateien lesen Sie, und wann wurde jede einzelne zuletzt geändert?“

   Claude fragt nach fileset.files für relativer Pfad, Größe_Bytes und modifiziert_utc, neueste zuerst.

   „Welche Programme haben in der letzten Stunde pro Host die meisten Zeilen protokolliert?“

   Claude-Gruppen fileset.events von Gastgeber und Programmgefiltert nach Ereigniszeit.

   „Wurden heute Syslog-Dateien rotiert, und gab es Zeilen, die nicht analysiert werden konnten?“

   Claude liest gedreht Zeilen von fileset.files_events von event_atdann zählt fileset.events_raw_lines von Grund.

   Um die Verkabelung zu überprüfen, fragen Sie „Welche Query Streams-Konnektoren habe ich?“Claude ruft an qs_list_connectorsund auf Meine Schlüssel der Schlüssel Zuletzt verwendet Die Zeit wird innerhalb weniger Sekunden aktualisiert.

Wie neue, geänderte und gelöschte Dateien angezeigt werden

Was Claude tun kann, sobald er verbunden ist

Claude sieht neunzehn kleine Werkzeuge. Man ruft sie nie selbst an; Claude wählt das passende für die jeweilige Frage aus. Einfach ausgedrückt:

Warum Schema-Intelligenz hier wichtig ist

Jede Antwort, die Claude erhält, wird mit dem Hinweis versehen, woher die Struktur stammt, und Claude passt an, wie sehr er dem Gesehenen vertraut.

Wenn eine Datenbank wichtig ist, führen Sie Schema Intelligence einmalig darauf aus. Nova → Intelligenz. Der Meine Schlüssel Die Registerkarte zeigt ein Abdeckungsfeld pro Anschluss an. Wie Schema Intelligence funktioniert.

Was die Pläne erlauben

MCP ist in allen Tarifen, auch im kostenlosen Tarif, ohne zusätzliche Gebühren enthalten. Jeder Tarif legt fest, wie viele Tasten oder verbundene Apps Sie halten können und wie viele Anrufe Claude pro Minute tätigen darf:

Eine verbundene App zählt als Schlüssel. Zusätzlich zum Minutenwert kann jeder Schlüssel maximal 10 Abfragen pro Minute ausführen. Eine Abfrage liefert bis zu 1.000 Zeilen und läuft bis zu 60 Sekunden, sofern Claude keine weiteren Abfragen anfordert. Die maximale Anzahl an Zeilen und die maximale Laufzeit betragen fünf Minuten. Die von Claude empfangenen Zeilen werden auf Ihr Datenkontingent angerechnet, das gleiche Kontingent, das auch Ihre Excel- und Tabellenkalkulationsabfragen nutzen. Die MCP-Werte werden vor der Komprimierung gemessen, daher sind die Kosten für ein umfangreiches Ergebnis hier höher als für dieselben Zeilen in einer Tabellenkalkulation. Schema Intelligence-Abfragen, die von Claude gestartet werden, verbrauchen Nova AI-Credits, genau wie Abfragen über das Portal. Siehe die Preisseite für die Zulagen.

Es sicher aufbewahren

Gute nächste Schritte

• Ordnerüberwachung aktivieren (nahezu in Echtzeit) Neue Zeilen werden innerhalb von Sekunden auf der lokalen Festplatte erkannt. Der geplante Scan bleibt die Garantie.
• Ereignisse für N Tage festlegen Sie können festlegen, wie viele Verlaufsdaten im Cache gespeichert werden. Systemprotokolle werden standardmäßig für 60 Tage gespeichert.
• Öffnen Sie den Dialog „Dateien“. auf dem Konnektor, um jede vom Agenten gelesene Protokolldatei einzusehen und zu erfahren, warum bestimmte Dateien beiseitegelegt werden.

Wenn etwas nicht funktioniert

Fragen, die Menschen stellen

Verwandte Leitfäden

• Verbinden Sie einen Ordner mit CSV-Dateien mit Claude mithilfe von MCP.
• Verbinden Sie einen Ordner mit Excel-Dateien mit Claude mithilfe von MCP.
• Verbinden Sie einen Ordner mit SQLite-Datenbanken mit Claude mithilfe von MCP
• Verbinden Sie einen Ordner mit Parquet-Dateien mit Claude mithilfe von MCP
• Query Streams über MCP mit Claude verbinden: Einrichtung, Berechtigungen und Fehlerbehebung
• Alle MCP-Leitfäden