خادم MCP للكشف عن التهديدات الأمنية

خادم MCP (بروتوكول سياق النموذج) يسمح لنماذج اللغة الكبيرة (LLMs) بالاستعلام عن قاعدة بيانات موحدة لقواعد الكشف الأمني من Sigma و Splunk ESCU و Elastic و KQL و Sublime و CrowdStrike CQL.

جديد هنا؟ ابدأ بـ دليل الإعداد – يغطي نظام macOS و Windows (WSL والأصلي) و Linux خطوة بخطوة.

تريد خدمة مستضافة؟ تجنب التثبيت تمامًا: دليل إعداد MCP المستضاف

طريقتان لتشغيله

محلي (القوة الكاملة) — حزمة npm التي تنظر إليها. يعمل على جهازك، يُفهرس مستودعات الكشف الخاصة بك، ويكشف عن جميع الأدوات الـ 81. تحتاج إلى Node.js وحوالي 10 دقائق.

مستضاف (بدون إعداد) — خادم HTTP قابل للبث على detect.michaelhaag.org/api/mcp/mcp. سجّل، أنشئ رمزًا مميزًا (token)، الصق عنوان URL واحدًا في عميل MCP. حوالي 25 أداة للقراءة فقط، متزامنة دائمًا مع أحدث المحتوى، 200 استدعاء/يوم مجانًا. تابع القراءة للحصول على أزرار التثبيت السريع.

التثبيت — محلي

Claude Code (سطر واحد في CLI):

claude mcp add security-detections -- npx -y security-detections-mcp

Claude Desktop — أضف إلى claude_desktop_config.json:

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": ["-y", "security-detections-mcp"]
    }
  }
}

OpenAI Codex (CLI):

codex mcp add security-detections -- npx -y security-detections-mcp

بعد التثبيت، قم بتكوين متغيرات البيئة (SIGMA_PATHS، SPLUNK_PATHS، إلخ) للإشارة إلى مستودعات الكشف الخاصة بك. راجع دليل الإعداد للحصول على التفاصيل الكاملة.

التثبيت — مستضاف (بدون إعداد، يتطلب رمزًا مميزًا)

1. أنشئ رمزًا مميزًا على detect.michaelhaag.org/account/tokens. الطبقة المجانية: 200 استدعاء/يوم، جميع أدوات القراءة فقط.
2. انقر على الزر المناسب لعميلك — استبدل sdmcp_YOUR_TOKEN_HERE في التكوين الناتج بالرمز الذي أنشأته للتو.

Claude Code (سطر واحد في CLI):

claude mcp add --transport http security-detections https://detect.michaelhaag.org/api/mcp/mcp --header "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"

Claude Desktop (عبر mcp-remote — سطح المكتب لا يدعم HTTP عن بعد أصلاً بعد):

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": [
        "-y",
        "mcp-remote",
        "https://detect.michaelhaag.org/api/mcp/mcp",
        "--header",
        "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"
      ]
    }
  }
}

OpenAI Codex (CLI):

export SDMCP_TOKEN="sdmcp_YOUR_TOKEN_HERE" && codex mcp add security-detections --url https://detect.michaelhaag.org/api/mcp/mcp --bearer-token-env-var SDMCP_TOKEN

راجع دليل إعداد MCP المستضاف للحصول على الجدول الكامل للعملاء، وقائمة الأدوات الكاملة، ونصائح استكشاف الأخطاء وإصلاحها.

توجيه نموذج الذكاء الاصطناعي (تطبيق الويب)

يدعم تطبيق الدردشة عبر الويب التوجيه المجاني والاحترافي/الإداري و BYOK (إحضار مفتاحك الخاص). يمكنك أيضًا رؤية النموذج النشط في أعلى واجهة الدردشة.

الطبقة المجانية (افتراضي)

• النموذج الافتراضي: nvidia/nemotron-3-super-120b-a12b:free
• ترتيب التبديل التلقائي إذا كان النموذج الأول مشغولاً:
  1. nvidia/nemotron-3-super-120b-a12b:free
  2. nousresearch/hermes-3-llama-3.1-405b:free
  3. meta-llama/llama-3.3-70b-instruct:free
  4. openai/gpt-oss-120b:free

الاحترافي/الإداري (بدون تعيين مفتاح BYOK)

يستخدم توجيه OpenRouter المُدار من التطبيق مع إعداد النموذج المفضل في /account:

سلوك BYOK (له الأولوية على توجيه الطبقة)

إذا قمت بتعيين مفتاح (مفاتيح) API الخاصة بك، فإن أولوية التوجيه هي:

1. مفتاح Claude (sk-ant-...) -> claude-sonnet-4-6-20250514 عبر Anthropic
2. مفتاح OpenAI (sk-...) -> gpt-5.4 عبر OpenAI
3. مفتاح OpenRouter (sk-or-...) -> يستخدم جدول تعيين النموذج المفضل نفسه أعلاه

إذا كانت مفاتيح متعددة موجودة، يتم استخدام أول تطابق في هذا الترتيب.

الميزات

• أكثر من 8,200 كشف عبر 6 صيغ — Sigma، Splunk ESCU، Elastic، KQL، Sublime، CrowdStrike CQL
• MITRE ATT&CK STIX — 172 جهة تهديد، 784 برنامجًا، 4,362 علاقة جهة-تقنية
• تغطية على مستوى الإجراءات — مجموعات سلوكية مستخرجة تلقائيًا من كل قاعدة كشف
• طبقات ATT&CK Navigator — تصدير JSON للتغطية/الفجوات، قابلة للتصفية حسب المصدر/التكتيك/الشدة/الجهة
• خط أنابيب مستقل — استيعاب معلومات التهديدات → تحليل الفجوات → إنشاء الكشف → اختبار Atomic → طلب سحب مسودة (انظر وثائق الاستقلالية)
• 81 أداة محلية / ~25 أداة مستضافة — بحث موحد، تعيين MITRE، تحليل التغطية، الرسم البياني المعرفي، تعلم الأنماط، تخطيط السباق
• 11 موجه MCP — تقييم برامج الفدية، محاكاة APT، فريق الأرجواني، إحالة تنفيذية، والمزيد
• موارد MCP وإكمالات — سياق قابل للقراءة، إكمال تلقائي لمعرفات التقنيات، CVEs، أسماء العمليات

بدء سريع

npx -y security-detections-mcp

أو استنسخ وابنِ: git clone https://github.com/MHaggis/Security-Detections-MCP.git && cd Security-Detections-MCP && npm install && npm run build

قم بتكوين متغيرات البيئة للإشارة إلى مستودعات الكشف الخاصة بك:

راجع دليل الإعداد للحصول على أمثلة تكوين لكل عميل (Cursor، VS Code، Claude Desktop، WSL).

الحصول على محتوى الكشف

قم بتنزيل جميع المصادر باستخدام السحب المتناثر (القواعد فقط، وليس المستودعات الكاملة):

mkdir -p detections && cd detections
git clone --depth 1 --filter=blob:none --sparse https://github.com/SigmaHQ/sigma.git && cd sigma && git sparse-checkout set rules rules-threat-hunting && cd ..
git clone --depth 1 --filter=blob:none --sparse https://github.com/splunk/security_content.git && cd security_content && git sparse-checkout set detections stories && cd ..
git clone --depth 1 --filter=blob:none --sparse https://github.com/elastic/detection-rules.git && cd detection-rules && git sparse-checkout set rules && cd ..
git clone --depth 1 https://github.com/Bert-JanP/Hunting-Queries-Detection-Rules.git kql-bertjanp
git clone --depth 1 https://github.com/jkerai1/KQL-Queries.git kql-jkerai1
git clone --depth 1 --filter=blob:none --sparse https://github.com/sublime-security/sublime-rules.git && cd sublime-rules && git sparse-checkout set detection-rules && cd ..
git clone --depth 1 https://github.com/ByteRay-Labs/Query-Hub.git cql-hub

أدوات MCP

أدوات الكشف الأساسية

MITRE ATT&CK والتصفية

التغطية والتحليل (محسّن للرموز المميزة)

الهندسة، الرسم البياني المعرفي، والمزيد

81 أداة إجمالاً بما في ذلك تعلم الأنماط، إنشاء القوالب، الرسم البياني المعرفي، الجداول الديناميكية، والتحليل المستقل. راجع مرجع الأدوات للحصول على القائمة الكاملة.

موجهات MCP

11 سير عمل خبير مبني مسبقًا. فقط اسأل بالاسم:

أنت: "قم بتشغيل apt-threat-emulation لـ APT29"
→ التغطية تقنية تلو الأخرى، الفجوات، وخطة اختبار الفريق الأرجواني

الاستخدام مع MITRE ATT&CK MCP

يتكامل مع mitre-attack-mcp لتحليل تغطية التهديدات الكاملة. قم بتثبيت كلاهما:

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": ["-y", "security-detections-mcp"],
      "env": { "SIGMA_PATHS": "/path/to/sigma/rules" }
    },
    "mitre-attack": {
      "command": "npx",
      "args": ["-y", "mitre-attack-mcp"],
      "env": { "ATTACK_DOMAIN": "enterprise-attack" }
    }
  }
}

الإحصائيات

التطوير

npm install && npm run build && npm test

التوثيق

• دليل الإعداد — دليل التثبيت الكامل لجميع المنصات
• دليل MCP المستضاف — الإعداد المستضاف، إدارة الرموز المميزة، قائمة الأدوات
• المنصة المستقلة — خط أنابيب من معلومات التهديدات إلى الكشف
• دليل الاختبار الشامل — الإعداد لكل SIEM (Splunk، Sentinel، Elastic، Sigma)
• الهندسة المعمارية — قرارات تصميم النظام
• الرسم البياني المعرفي — المعرفة القبلية والذاكرة التحليلية
• الذكاء الهندسي — تعلم الأنماط والقوالب
• مرجع الأدوات — مرجع كامل لجميع الأدوات الـ 81

الترخيص

Apache 2.0