Security Detections MCP

Un server MCP (Model Context Protocol) che consente agli LLM di eseguire query su un database unificato di regole di rilevamento della sicurezza di Sigma, Splunk ESCU, Elastic, KQL, Sublime e CrowdStrike CQL.

Nuovo qui? Inizia con la Guida all'installazione -- copre macOS, Windows (WSL e nativo) e Linux passo dopo passo.

Lo vuoi hosted? Salta completamente l'installazione: Guida all'installazione Hosted MCP

Due modi per eseguirlo

Locale (piena potenza) — il pacchetto npm che stai guardando. Viene eseguito sulla tua macchina, indicizza i tuoi repository di rilevamento, espone tutti i 81 strumenti. Hai bisogno di Node.js e circa 10 minuti.

Hosted (nessuna configurazione) — un server HTTP Streamable su detect.michaelhaag.org/api/mcp/mcp. Registrati, genera un token, incolla un URL nel tuo client MCP. ~25 strumenti di sola lettura, sempre sincronizzati con i contenuti più recenti, 200 chiamate/giorno gratuite. Continua a leggere per i pulsanti di installazione rapida.

Installazione — Locale

Claude Code (comando singolo CLI):

claude mcp add security-detections -- npx -y security-detections-mcp

Claude Desktop — aggiungi a claude_desktop_config.json:

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": ["-y", "security-detections-mcp"]
    }
  }
}

OpenAI Codex (CLI):

codex mcp add security-detections -- npx -y security-detections-mcp

Dopo l'installazione, configura le variabili d'ambiente (SIGMA_PATHS, SPLUNK_PATHS, ecc.) per puntare ai tuoi repository di rilevamento. Consulta la Guida all'installazione per tutti i dettagli.

Installazione — Hosted (nessuna configurazione, token richiesto)

1. Crea un token su detect.michaelhaag.org/account/tokens. Livello gratuito: 200 chiamate/giorno, tutti gli strumenti di sola lettura.
2. Clicca il pulsante per il tuo client — sostituisci sdmcp_YOUR_TOKEN_HERE nella configurazione risultante con il token che hai appena generato.

Claude Code (comando singolo CLI):

claude mcp add --transport http security-detections https://detect.michaelhaag.org/api/mcp/mcp --header "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"

Claude Desktop (tramite mcp-remote — Desktop non supporta ancora HTTP remoto nativamente):

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": [
        "-y",
        "mcp-remote",
        "https://detect.michaelhaag.org/api/mcp/mcp",
        "--header",
        "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"
      ]
    }
  }
}

OpenAI Codex (CLI):

export SDMCP_TOKEN="sdmcp_YOUR_TOKEN_HERE" && codex mcp add security-detections --url https://detect.michaelhaag.org/api/mcp/mcp --bearer-token-env-var SDMCP_TOKEN

Consulta la Guida all'installazione Hosted MCP per la tabella completa dei client, l'inventario completo degli strumenti e i suggerimenti per la risoluzione dei problemi.

Routing del modello AI (App Web)

La chat web supporta il routing Free, Pro/Admin e BYOK (Bring Your Own Key). Puoi anche vedere il modello attivo nella parte superiore dell'interfaccia chat.

Free Tier (predefinito)

• Modello predefinito: nvidia/nemotron-3-super-120b-a12b:free
• Ordine di fallback automatico se il primo modello è occupato:
  1. nvidia/nemotron-3-super-120b-a12b:free
  2. nousresearch/hermes-3-llama-3.1-405b:free
  3. meta-llama/llama-3.3-70b-instruct:free
  4. openai/gpt-oss-120b:free

Pro/Admin (nessuna chiave BYOK impostata)

Utilizza il routing OpenRouter gestito dall'app con la tua Impostazione Modello Preferito su /account:

Comportamento BYOK (ha la precedenza sul routing del livello)

Se imposti le tue chiavi API, la priorità di instradamento è:

1. Chiave Claude (sk-ant-...) -> claude-sonnet-4-6-20250514 tramite Anthropic
2. Chiave OpenAI (sk-...) -> gpt-5.4 tramite OpenAI
3. Chiave OpenRouter (sk-or-...) -> utilizza la stessa tabella di mappatura del Modello Preferito sopra

Se sono presenti più chiavi, viene utilizzata la prima corrispondenza in questo ordine.

Caratteristiche

• Oltre 8.200 rilevamenti in 6 formati — Sigma, Splunk ESCU, Elastic, KQL, Sublime, CrowdStrike CQL
• MITRE ATT&CK STIX — 172 attori delle minacce, 784 software, 4.362 relazioni attore-tecnica
• Copertura a livello di procedura — cluster comportamentali estratti automaticamente da ogni regola di rilevamento
• Layer di ATT&CK Navigator — esporta JSON di copertura/lacune, filtrabile per fonte/tattica/gravità/attore
• Pipeline autonoma — ingestione CTI → analisi delle lacune → generazione rilevamenti → test Atomic → DRAFT PR (vedi documenti Autonomi)
• 81 strumenti locali / ~25 strumenti hosted — ricerca unificata, mappatura MITRE, analisi copertura, grafo della conoscenza, apprendimento di pattern, pianificazione sprint
• 11 Prompt MCP — valutazione ransomware, emulazione APT, purple team, briefing esecutivo e altro
• Risorse e Completamenti MCP — contesto leggibile, completamento automatico per ID tecnica, CVE, nomi di processo

Avvio rapido

npx -y security-detections-mcp

Oppure clona e compila: git clone https://github.com/MHaggis/Security-Detections-MCP.git && cd Security-Detections-MCP && npm install && npm run build

Configura le variabili d'ambiente per puntare ai tuoi repository di rilevamento:

Consulta la Guida all'installazione per esempi di configurazione completi per client (Cursor, VS Code, Claude Desktop, WSL).

Ottenere contenuti di rilevamento

Scarica tutte le fonti con sparse checkout (solo regole, non interi repository):

mkdir -p detections && cd detections
git clone --depth 1 --filter=blob:none --sparse https://github.com/SigmaHQ/sigma.git && cd sigma && git sparse-checkout set rules rules-threat-hunting && cd ..
git clone --depth 1 --filter=blob:none --sparse https://github.com/splunk/security_content.git && cd security_content && git sparse-checkout set detections stories && cd ..
git clone --depth 1 --filter=blob:none --sparse https://github.com/elastic/detection-rules.git && cd detection-rules && git sparse-checkout set rules && cd ..
git clone --depth 1 https://github.com/Bert-JanP/Hunting-Queries-Detection-Rules.git kql-bertjanp
git clone --depth 1 https://github.com/jkerai1/KQL-Queries.git kql-jkerai1
git clone --depth 1 --filter=blob:none --sparse https://github.com/sublime-security/sublime-rules.git && cd sublime-rules && git sparse-checkout set detection-rules && cd ..
git clone --depth 1 https://github.com/ByteRay-Labs/Query-Hub.git cql-hub

Strumenti MCP

Strumenti di rilevamento principali

MITRE ATT&CK e Filtraggio

Copertura e Analisi (Ottimizzato per i Token)

Ingegneria, Grafo della Conoscenza e Altro

81 strumenti totali, inclusi apprendimento di pattern, generazione di template, grafo della conoscenza, tabelle dinamiche e analisi autonoma. Vedi il Riferimento Strumenti per l'elenco completo.

Prompt MCP

11 workflow esperti predefiniti. Basta chiedere per nome:

Tu: "Esegui apt-threat-emulation per APT29"
→ Copertura tecnica per tecnica, lacune e piano di test del purple team

Utilizzo con MITRE ATT&CK MCP

Si abbina a mitre-attack-mcp per un'analisi completa della copertura delle minacce. Installa entrambi:

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": ["-y", "security-detections-mcp"],
      "env": { "SIGMA_PATHS": "/path/to/sigma/rules" }
    },
    "mitre-attack": {
      "command": "npx",
      "args": ["-y", "mitre-attack-mcp"],
      "env": { "ATTACK_DOMAIN": "enterprise-attack" }
    }
  }
}

Statistiche

Sviluppo

npm install && npm run build && npm test

Documentazione

• Guida all'installazione — Tutorial di installazione completo per tutte le piattaforme
• Guida Hosted MCP — Configurazione hosted, gestione token, inventario strumenti
• Piattaforma Autonoma — Pipeline CTI-verso-rilevamento
• Guida ai Test E2E — Configurazione per SIEM (Splunk, Sentinel, Elastic, Sigma)
• Architettura — Decisioni di progettazione del sistema
• Grafo della Conoscenza — Conoscenza tribale e memoria analitica
• Intelligenza Ingegneristica — Apprendimento di pattern e template
• Riferimento Strumenti — Riferimento completo per tutti i 81 strumenti

Licenza

Apache 2.0