Security Detections MCP

Ein MCP (Model Context Protocol)-Server, der LLMs ermöglicht, eine einheitliche Datenbank mit Sigma-, Splunk ESCU-, Elastic-, KQL-, Sublime- und CrowdStrike CQL-Sicherheitserkennungsregeln abzufragen.

Neu hier? Starten Sie mit dem Setup-Guide – behandelt macOS, Windows (WSL & nativ) und Linux Schritt für Schritt.

Möchten Sie eine gehostete Lösung? Überspringen Sie die Installation vollständig: Gehosteter MCP-Setup-Guide

Zwei Möglichkeiten zur Ausführung

Lokal (volle Leistung) – das npm-Paket, das Sie gerade betrachten. Läuft auf Ihrem Rechner, indexiert Ihre eigenen Erkennungs-Repos und bietet alle 81 Tools. Sie benötigen Node.js und etwa 10 Minuten.

Gehostet (kein Setup) – ein Streamable-HTTP-Server unter detect.michaelhaag.org/api/mcp/mcp. Registrieren Sie sich, generieren Sie einen Token, fügen Sie eine URL in Ihren MCP-Client ein. ~25 schreibgeschützte Tools, immer synchron mit den neuesten Inhalten, 200 Aufrufe/Tag kostenlos. Lesen Sie weiter für Schnellinstallations-Buttons.

Installation – Lokal

Claude Code (CLI-Einzeiler):

claude mcp add security-detections -- npx -y security-detections-mcp

Claude Desktop – zur claude_desktop_config.json hinzufügen:

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": ["-y", "security-detections-mcp"]
    }
  }
}

OpenAI Codex (CLI):

codex mcp add security-detections -- npx -y security-detections-mcp

Nach der Installation Umgebungsvariablen konfigurieren (SIGMA_PATHS, SPLUNK_PATHS usw.), um auf Ihre Erkennungs-Repos zu verweisen. Vollständige Details im Setup-Guide.

Installation – Gehostet (kein Setup, Token erforderlich)

1. Erstellen Sie einen Token unter detect.michaelhaag.org/account/tokens. Kostenlose Stufe: 200 Aufrufe/Tag, alle schreibgeschützten Tools.
2. Klicken Sie auf den Button für Ihren Client – ersetzen Sie sdmcp_YOUR_TOKEN_HERE in der resultierenden Konfiguration durch den gerade erstellten Token.

Claude Code (CLI-Einzeiler):

claude mcp add --transport http security-detections https://detect.michaelhaag.org/api/mcp/mcp --header "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"

Claude Desktop (über mcp-remote – Desktop unterstützt Remote-HTTP noch nicht nativ):

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": [
        "-y",
        "mcp-remote",
        "https://detect.michaelhaag.org/api/mcp/mcp",
        "--header",
        "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"
      ]
    }
  }
}

OpenAI Codex (CLI):

export SDMCP_TOKEN="sdmcp_YOUR_TOKEN_HERE" && codex mcp add security-detections --url https://detect.michaelhaag.org/api/mcp/mcp --bearer-token-env-var SDMCP_TOKEN

Den vollständigen Gehosteten MCP-Setup-Guide finden Sie in der Tabelle aller Clients, der vollständigen Tool-Übersicht und Fehlerbehebungstipps.

AI-Modell-Routing (Web-App)

Der Web-Chat unterstützt Free-, Pro/Admin- und BYOK-Routing (Bring Your Own Key). Das aktive Modell wird oben in der Chat-Oberfläche angezeigt.

Kostenlose Stufe (Standard)

• Standardmodell: nvidia/nemotron-3-super-120b-a12b:free
• Automatische Fallback-Reihenfolge, falls das erste Modell ausgelastet ist:
  1. nvidia/nemotron-3-super-120b-a12b:free
  2. nousresearch/hermes-3-llama-3.1-405b:free
  3. meta-llama/llama-3.3-70b-instruct:free
  4. openai/gpt-oss-120b:free

Pro/Admin (kein BYOK-Schlüssel festgelegt)

Verwendet ein app-verwaltetes OpenRouter-Routing mit Ihrer bevorzugten Modell-Einstellung unter /account:

Bevorzugtes Modell	Geroutetes Modell
auto	Kostenloser Modellpool (Standard: nvidia/nemotron-3-super-120b-a12b:free)
claude	anthropic/claude-sonnet-4-6
claude-opus	anthropic/claude-opus-4-6
gpt	openai/gpt-5.4
gpt-codex	openai/gpt-5.3-codex

BYOK-Verhalten (hat Vorrang vor Stufen-Routing)

Wenn Sie eigene API-Schlüssel festlegen, ist die Routing-Priorität:

1. Claude-Schlüssel (sk-ant-...) -> claude-sonnet-4-6-20250514 über Anthropic
2. OpenAI-Schlüssel (sk-...) -> gpt-5.4 über OpenAI
3. OpenRouter-Schlüssel (sk-or-...) -> verwendet die gleiche Zuordnungstabelle für bevorzugte Modelle wie oben

Wenn mehrere Schlüssel vorhanden sind, wird der erste Treffer in dieser Reihenfolge verwendet.

Funktionen