Security Detections MCP — база правил детектирования
Security Detections MCP
MCP-сервер собирает правила Sigma, Splunk, Elastic и KQL в одну базу: агент ищет детекторы и пробелы в покрытии ATT&CK
- 517 ★ репозитория
- Последний коммит
Расширенный доступ
Почему такой уровень
- Сервер читает локальные каталоги правил по путям из переменных окружения и строит по ним индекс
- Размещенная версия отправляет запросы агента на внешний сервер и требует токен
- Эмуляция APT и тест-планы описывают приемы атак, выполнять их стоит только в собственной лаборатории
Установка
- Работает в
Ручная установка
claude mcp add security-detections -- npx -y security-detections-mcpЗатем задайте SIGMA_PATHS, SPLUNK_PATHS и другие пути к клонам репозиториев с правилами.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Сервер читает локальные каталоги правил по путям из переменных окружения и строит по ним индекс
- Размещенная версия отправляет запросы агента на внешний сервер и требует токен
- Эмуляция APT и тест-планы описывают приемы атак, выполнять их стоит только в собственной лаборатории
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Сервер индексирует правила детектирования из семи источников: Sigma, Splunk ESCU, Elastic, KQL, Sublime, CrowdStrike CQL и Jamf Protect. Агент ищет по ним полнотекстово и фильтрует выдачу по технике MITRE ATT&CK, тактике, номеру CVE, имени процесса, уровню серьезности и источнику данных. Отдельный слой работает с данными ATT&CK в формате STIX: группировки и программы-вредоносы связываются с техниками, по ним считаются покрытие и пробелы, а слои для ATT&CK Navigator выгружаются в JSON. Одиннадцать готовых промптов запускают типовые задачи: оценку угрозы шифровальщика, эмуляцию APT, план учений красной и синей команд, сводку для руководства. Локальная версия открывает 81 инструмент и строит базу по вашим клонам репозиториев с правилами. Размещенная версия на detect.michaelhaag.org дает около 25 инструментов только для чтения и не требует установки.
Для кого. Инженерам по детектированию и аналитикам SOC, которые пишут и сопровождают правила для нескольких SIEM и хотят сверяться с готовыми правилами прямо из агента.
Подходит, если
- Перед написанием своего правила для техники T1059.001 нужно посмотреть, как ее уже ловят Sigma, Splunk и Elastic
- Команда получила отчет о новой кампании, и надо понять, какие техники группировки остались без детекторов
- Аналитик переносит правило из Sigma в Splunk или KQL и сравнивает, как другие форматы описывают то же поведение
- К встрече с руководством готовится слой ATT&CK Navigator с покрытием по источникам и тактикам
- Идет учение красной и синей команд, и под технику каждого этапа нужен список правил для проверки
Не подходит, если
- Правила надо прогнать по живым логам: сервер работает с текстами правил и события сам не анализирует
- Нужен SIEM, формата которого нет в списке: поддерживаются Sigma, Splunk, Elastic, KQL, Sublime, CrowdStrike CQL и Jamf Protect
- Node.js на машине отсутствует: локальная версия запускается через npx, а размещенной нужны регистрация и токен
Пример запроса к агенту
Покажи правила под технику T1059.001 в Sigma и Splunk, а затем перечисли техники APT29, для которых в базе нет ни одного детектора.MCP
- Транспорт
- stdio, http
- Авторизация
- не нужна
Переменные окружения
SIGMA_PATHS- Каталоги правил Sigma, через запятую.
SPLUNK_PATHS- Каталоги детекторов Splunk ESCU.
ELASTIC_PATHS- Каталоги правил Elastic.
KQL_PATHS- Каталоги охотничьих запросов KQL.
ATTACK_STIX_PATH- Путь к enterprise-attack.json с данными ATT&CK о группировках, нужен необязательно.
Ограничения
Сам пакет правил не содержит. Каталоги Sigma, Splunk, Elastic и других клонируют отдельно командами `sparse checkout` из описания, пути к ним задают переменными SIGMA_PATHS, SPLUNK_PATHS и подобными.
Размещенная версия работает по токену: бесплатный тариф дает 200 вызовов в день.
В репозитории лежат еще каталоги `automation` и `agents` с автономным конвейером, который от разведки угроз доходит до черновика запроса на слияние. К установке сервера они не относятся, и эта карточка их не описывает.
Как отключить. В Claude Code выполните `claude mcp remove security-detections`, в Cursor, VS Code и Claude Desktop удалите блок security-detections из конфигурации MCP. Клоны репозиториев с правилами остаются на диске, их удаляют вручную.
Частые вопросы
Как установить Security Detections MCP в Claude Code?
Выполните claude mcp add security-detections -- npx -y security-detections-mcp и затем задайте пути к каталогам правил в переменных SIGMA_PATHS, SPLUNK_PATHS, ELASTIC_PATHS, KQL_PATHS. Для Codex команда та же с codex mcp add. Требуется Node.js.
Откуда берутся правила?
Из репозиториев, которые вы клонируете сами: SigmaHQ, Splunk security_content, Elastic `detection-rules` и других. Описание советует `sparse checkout`, чтобы скачать только каталоги с правилами.
Чем размещенная версия отличается от локальной?
Размещенная работает по адресу https://detect.michaelhaag.org/api/mcp/mcp с токеном, без установки, отдает около 25 инструментов только для чтения и дает 200 вызовов в день бесплатно. Локальная ставится через npx, индексирует ваши репозитории и открывает 81 инструмент.
Нужен ли ключ модели Claude или OpenAI?
Самому MCP-серверу нет. Ключи Claude, OpenAI или OpenRouter относятся к веб-чату на сайте проекта, где можно подставить свой ключ.
Подойдет ли сервер для Cursor и VS Code?
Да. В описании есть кнопки установки для Cursor, VS Code и VS Code Insiders и блок конфигурации для Claude Desktop. Во всех клиентах сервер запускается одной командой npx -y security-detections-mcp.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыMCP-сервер, который дает агенту разбор уязвимостей: данные NVD, EPSS, каталог CISA KEV, связки с MITRE ATT&CK и оценка риска CVE в одном запросе
Сканер безопасности для MCP-серверов: ищет зашитые ключи, отравление инструментов и инъекции в коде репозитория.
cvENGINE находит внешние активы домена и уязвимости, которые уже эксплуатируют, а MCP-сервер ведет сканы из Claude Code
MCP-Shield находит конфигурации MCP, подключается к серверам и ищет в описаниях инструментов скрытые команды, каналы утечки и подмену чужих инструментов
Сканер ищет в конфигах MCP у Claude Desktop, Cursor и VS Code утекшие ключи, опасные доступы и подключенные модели.
Сканер безопасности для агентов: проверяет код, MCP-серверы, промпты и пакеты, выдуманные моделью, и ставит оценку от A до F.
Коротко о README
Автор проекта под логином MHaggis держит и размещенный каталог детекторов на detect.michaelhaag.org. Сервер дополняет парный `mitre-attack-mcp`: вместе они закрывают анализ покрытия по угрозам. Версия сборки npm 3.3.0, лицензия Apache-2.0.