Security Detections MCP

Ein MCP (Model Context Protocol)-Server, der LLMs ermöglicht, eine einheitliche Datenbank mit Sigma-, Splunk ESCU-, Elastic-, KQL-, Sublime- und CrowdStrike CQL-Sicherheitserkennungsregeln abzufragen.

Neu hier? Starten Sie mit dem Setup-Guide – behandelt macOS, Windows (WSL & nativ) und Linux Schritt für Schritt.

Möchten Sie eine gehostete Lösung? Überspringen Sie die Installation vollständig: Gehosteter MCP-Setup-Guide

Zwei Möglichkeiten zur Ausführung

Lokal (volle Leistung) – das npm-Paket, das Sie gerade betrachten. Läuft auf Ihrem Rechner, indexiert Ihre eigenen Erkennungs-Repos und bietet alle 81 Tools. Sie benötigen Node.js und etwa 10 Minuten.

Gehostet (kein Setup) – ein Streamable-HTTP-Server unter detect.michaelhaag.org/api/mcp/mcp. Registrieren Sie sich, generieren Sie einen Token, fügen Sie eine URL in Ihren MCP-Client ein. ~25 schreibgeschützte Tools, immer synchron mit den neuesten Inhalten, 200 Aufrufe/Tag kostenlos. Lesen Sie weiter für Schnellinstallations-Buttons.

Installation – Lokal

Claude Code (CLI-Einzeiler):

claude mcp add security-detections -- npx -y security-detections-mcp

Claude Desktop – zur claude_desktop_config.json hinzufügen:

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": ["-y", "security-detections-mcp"]
    }
  }
}

OpenAI Codex (CLI):

codex mcp add security-detections -- npx -y security-detections-mcp

Nach der Installation Umgebungsvariablen konfigurieren (SIGMA_PATHS, SPLUNK_PATHS usw.), um auf Ihre Erkennungs-Repos zu verweisen. Vollständige Details im Setup-Guide.

Installation – Gehostet (kein Setup, Token erforderlich)

1. Erstellen Sie einen Token unter detect.michaelhaag.org/account/tokens. Kostenlose Stufe: 200 Aufrufe/Tag, alle schreibgeschützten Tools.
2. Klicken Sie auf den Button für Ihren Client – ersetzen Sie sdmcp_YOUR_TOKEN_HERE in der resultierenden Konfiguration durch den gerade erstellten Token.

Claude Code (CLI-Einzeiler):

claude mcp add --transport http security-detections https://detect.michaelhaag.org/api/mcp/mcp --header "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"

Claude Desktop (über mcp-remote – Desktop unterstützt Remote-HTTP noch nicht nativ):

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": [
        "-y",
        "mcp-remote",
        "https://detect.michaelhaag.org/api/mcp/mcp",
        "--header",
        "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"
      ]
    }
  }
}

OpenAI Codex (CLI):

export SDMCP_TOKEN="sdmcp_YOUR_TOKEN_HERE" && codex mcp add security-detections --url https://detect.michaelhaag.org/api/mcp/mcp --bearer-token-env-var SDMCP_TOKEN

Den vollständigen Gehosteten MCP-Setup-Guide finden Sie in der Tabelle aller Clients, der vollständigen Tool-Übersicht und Fehlerbehebungstipps.

AI-Modell-Routing (Web-App)

Der Web-Chat unterstützt Free-, Pro/Admin- und BYOK-Routing (Bring Your Own Key). Das aktive Modell wird oben in der Chat-Oberfläche angezeigt.

Kostenlose Stufe (Standard)

• Standardmodell: nvidia/nemotron-3-super-120b-a12b:free
• Automatische Fallback-Reihenfolge, falls das erste Modell ausgelastet ist:
  1. nvidia/nemotron-3-super-120b-a12b:free
  2. nousresearch/hermes-3-llama-3.1-405b:free
  3. meta-llama/llama-3.3-70b-instruct:free
  4. openai/gpt-oss-120b:free

Pro/Admin (kein BYOK-Schlüssel festgelegt)

Verwendet ein app-verwaltetes OpenRouter-Routing mit Ihrer bevorzugten Modell-Einstellung unter /account:

BYOK-Verhalten (hat Vorrang vor Stufen-Routing)

Wenn Sie eigene API-Schlüssel festlegen, ist die Routing-Priorität:

1. Claude-Schlüssel (sk-ant-...) -> claude-sonnet-4-6-20250514 über Anthropic
2. OpenAI-Schlüssel (sk-...) -> gpt-5.4 über OpenAI
3. OpenRouter-Schlüssel (sk-or-...) -> verwendet die gleiche Zuordnungstabelle für bevorzugte Modelle wie oben

Wenn mehrere Schlüssel vorhanden sind, wird der erste Treffer in dieser Reihenfolge verwendet.

Funktionen

• 8.200+ Erkennungen in 6 Formaten – Sigma, Splunk ESCU, Elastic, KQL, Sublime, CrowdStrike CQL
• MITRE ATT&CK STIX – 172 Bedrohungsakteure, 784 Software, 4.362 Akteur-Technik-Beziehungen
• Verfahrensebene-Abdeckung – automatisch extrahierte Verhaltenscluster aus jeder Erkennungsregel
• ATT&CK-Navigator-Ebenen – Abdeckungs-/Lücken-JSON exportieren, filterbar nach Quelle/Taktik/Schweregrad/Akteur
• Autonome Pipeline – CTI-Erfassung → Lückenanalyse → Erkennungsgenerierung → Atomic-Tests → DRAFT-PR (siehe Autonome Dokumentation)
• 81 lokale Tools / ~25 gehostete Tools – einheitliche Suche, MITRE-Zuordnung, Abdeckungsanalyse, Wissensgraph, Musterlernen, Sprintplanung
• 11 MCP-Prompts – Ransomware-Bewertung, APT-Emulation, Purple Team, Executive Briefing und mehr
• MCP-Ressourcen und -Vervollständigungen – lesbarer Kontext, Autovervollständigung für Technik-IDs, CVEs, Prozessnamen

Schnellstart

npx -y security-detections-mcp

Oder klonen und bauen: git clone https://github.com/MHaggis/Security-Detections-MCP.git && cd Security-Detections-MCP && npm install && npm run build

Umgebungsvariablen konfigurieren, um auf Ihre Erkennungs-Repos zu verweisen:

Vollständige clientseitige Konfigurationsbeispiele (Cursor, VS Code, Claude Desktop, WSL) finden Sie im Setup-Guide.

Erkennungsinhalte beziehen

Laden Sie alle Quellen mit sparse checkout herunter (nur Regeln, nicht vollständige Repos):

mkdir -p detections && cd detections
git clone --depth 1 --filter=blob:none --sparse https://github.com/SigmaHQ/sigma.git && cd sigma && git sparse-checkout set rules rules-threat-hunting && cd ..
git clone --depth 1 --filter=blob:none --sparse https://github.com/splunk/security_content.git && cd security_content && git sparse-checkout set detections stories && cd ..
git clone --depth 1 --filter=blob:none --sparse https://github.com/elastic/detection-rules.git && cd detection-rules && git sparse-checkout set rules && cd ..
git clone --depth 1 https://github.com/Bert-JanP/Hunting-Queries-Detection-Rules.git kql-bertjanp
git clone --depth 1 https://github.com/jkerai1/KQL-Queries.git kql-jkerai1
git clone --depth 1 --filter=blob:none --sparse https://github.com/sublime-security/sublime-rules.git && cd sublime-rules && git sparse-checkout set detection-rules && cd ..
git clone --depth 1 https://github.com/ByteRay-Labs/Query-Hub.git cql-hub

MCP-Werkzeuge

Kern-Erkennungswerkzeuge

MITRE ATT&CK & Filterung

Abdeckung & Analyse (Token-optimiert)

Entwicklung, Wissensgraph & mehr

Insgesamt 81 Tools, darunter Musterlernen, Vorlagengenerierung, Wissensgraph, dynamische Tabellen und autonome Analyse. Die vollständige Liste finden Sie in der Tool-Referenz.

MCP-Prompts

11 vorgefertigte Experten-Workflows. Einfach nach Namen fragen:

Sie: "Führe apt-threat-emulation für APT29 aus"
→ Technik-für-Technik-Abdeckung, Lücken und Purple-Team-Testplan

Verwendung mit MITRE ATT&CK MCP

Kombinierbar mit mitre-attack-mcp für vollständige Bedrohungsabdeckungsanalyse. Beide installieren:

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": ["-y", "security-detections-mcp"],
      "env": { "SIGMA_PATHS": "/path/to/sigma/rules" }
    },
    "mitre-attack": {
      "command": "npx",
      "args": ["-y", "mitre-attack-mcp"],
      "env": { "ATTACK_DOMAIN": "enterprise-attack" }
    }
  }
}

Statistiken

Entwicklung

npm install && npm run build && npm test

Dokumentation

• Setup-Guide – Vollständige Installationsanleitung für alle Plattformen
• Gehosteter MCP-Guide – Gehostetes Setup, Token-Verwaltung, Tool-Übersicht
• Autonome Plattform – CTI-zu-Erkennungs-Pipeline
• E2E-Test-Guide – Pro-SIEM-Setup (Splunk, Sentinel, Elastic, Sigma)
• Architektur – Systemdesignentscheidungen
• Wissensgraph – Stammeswissen und analytisches Gedächtnis
• Engineering-Intelligenz – Musterlernen und Vorlagen
• Tool-Referenz – Vollständige Referenz für alle 81 Tools

Lizenz

Apache 2.0