Security Detections MCP

LLMがSigma、Splunk ESCU、Elastic、KQL、Sublime、CrowdStrike CQLのセキュリティ検出ルールの統合データベースをクエリできるMCP（Model Context Protocol）サーバー。

初めてですか？セットアップガイド から始めてください -- macOS、Windows（WSLおよびネイティブ）、Linuxをステップバイステップでカバーします。

ホスティングを利用しますか？インストールを完全にスキップ：Hosted MCP セットアップガイド

2つの実行方法

ローカル（フルパワー） — 今見ているnpmパッケージです。自分のマシンで動作し、自身の検出リポジトリをインデックス化し、81のツールすべてを公開します。Node.jsと約10分が必要です。

ホスティング（セットアップ不要） — detect.michaelhaag.org/api/mcp/mcp にあるStreamable HTTPサーバー。サインアップしてトークンを生成し、1つのURLをMCPクライアントに貼り付けます。約25の読み取り専用ツール、常に最新コンテンツと同期、1日200回の無料呼び出し。クイックインストールボタンは以下をご覧ください。

インストール — ローカル

Claude Code（CLIワンライナー）：

claude mcp add security-detections -- npx -y security-detections-mcp

Claude Desktop — claude_desktop_config.jsonに追加：

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": ["-y", "security-detections-mcp"]
    }
  }
}

OpenAI Codex（CLI）：

codex mcp add security-detections -- npx -y security-detections-mcp

インストール後、環境変数（SIGMA_PATHS、SPLUNK_PATHSなど）を設定して、検出リポジトリを指定します。詳細はセットアップガイドを参照してください。

インストール — ホスティング（セットアップ不要、トークンが必要）

detect.michaelhaag.org/account/tokensでトークンを作成します。無料枠：1日200回の呼び出し、すべて読み取り専用ツール。
クライアントのボタンをクリック — 生成された設定内のsdmcp_YOUR_TOKEN_HEREを、作成したトークンに置き換えます。

Claude Code（CLIワンライナー）：

claude mcp add --transport http security-detections https://detect.michaelhaag.org/api/mcp/mcp --header "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"

Claude Desktop（mcp-remote経由 — デスクトップはまだネイティブでリモートHTTPをサポートしていません）：

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": [
        "-y",
        "mcp-remote",
        "https://detect.michaelhaag.org/api/mcp/mcp",
        "--header",
        "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"
      ]
    }
  }
}

OpenAI Codex（CLI）：

export SDMCP_TOKEN="sdmcp_YOUR_TOKEN_HERE" && codex mcp add security-detections --url https://detect.michaelhaag.org/api/mcp/mcp --bearer-token-env-var SDMCP_TOKEN

クライアントの完全な表、ツールの全インベントリ、トラブルシューティングのヒントについては、Hosted MCP セットアップガイドを参照してください。

AIモデルルーティング（Webアプリ）

Webチャットは、Free、Pro/Admin、BYOK（Bring Your Own Key）ルーティングをサポートしています。アクティブなモデルはチャットUIの上部に表示されます。

Free Tier（デフォルト）

Default model: nvidia/nemotron-3-super-120b-a12b:free
最初のモデルがビジー状態の場合の自動フォールバック順序：
1. nvidia/nemotron-3-super-120b-a12b:free
2. nousresearch/hermes-3-llama-3.1-405b:free
3. meta-llama/llama-3.3-70b-instruct:free
4. openai/gpt-oss-120b:free

Pro/Admin（BYOKキー未設定）

アプリ管理のOpenRouterルーティングを使用し、/accountのPreferred Model設定に従います：

Preferred Model	Routed model
`auto`	Free model pool (default: `nvidia/nemotron-3-super-120b-a12b:free`)
`claude`	`anthropic/claude-sonnet-4-6`
`claude-opus`	`anthropic/claude-opus-4-6`
`gpt`	`openai/gpt-5.4`
`gpt-codex`	`openai/gpt-5.3-codex`

BYOKの動作（階層ルーティングより優先）

自身のAPIキーを設定した場合、ルーティングの優先順位は次のとおりです：

Claude key (sk-ant-...) -> claude-sonnet-4-6-20250514 via Anthropic
OpenAI key (sk-...) -> gpt-5.4 via OpenAI
OpenRouter key (sk-or-...) -> uses the same Preferred Model mapping table above

複数のキーが存在する場合、その順序で最初に一致したものが使用されます。

機能

8,200件以上の検出を6形式（Sigma、Splunk ESCU、Elastic、KQL、Sublime、CrowdStrike CQL）で
MITRE ATT&CK STIX — 172の脅威アクター、784のソフトウェア、4,362のアクター・テクニック関係
手順レベルのカバレッジ — すべての検出ルールから自動抽出された行動クラスター
ATT&CK Navigatorレイヤー — カバレッジ/ギャップJSONのエクスポート、ソース/戦術/重要度/アクターでフィルタリング可能
自律パイプライン — CTI取り込み → ギャップ分析 → 検出生成 → Atomicテスト → DRAFT PR（自律ドキュメント参照）
81のローカルツール / 約25のホストツール — 統合検索、MITREマッピング、カバレッジ分析、知識グラフ、パターン学習、スプリント計画
11のMCPプロンプト — ランサムウェア評価、APTエミュレーション、パープルチーム、役員ブリーフィングなど
MCPリソースと補完 — 読み取り可能なコンテキスト、テクニックID、CVE、プロセス名のオートコンプリート

クイックスタート

npx -y security-detections-mcp

またはクローンしてビルド：git clone https://github.com/MHaggis/Security-Detections-MCP.git && cd Security-Detections-MCP && npm install && npm run build

環境変数を設定して検出リポジトリを指定：

変数	説明
`SIGMA_PATHS`	Sigmaルールディレクトリ
`SPLUNK_PATHS`	Splunk ESCU検出ディレクトリ
`ELASTIC_PATHS`	Elastic検出ルールディレクトリ
`KQL_PATHS`	KQLハンティングクエリディレクトリ
`SUBLIME_PATHS`	Sublime Securityルールディレクトリ
`CQL_HUB_PATHS`	CQL Hub (CrowdStrike) クエリディレクトリ
`JAMF_PROTECT_PATHS`	Jamf Protectカスタム分析検出ディレクトリ（macOS）
`STORY_PATHS`	Splunk分析ストーリーディレクトリ（オプション）
`ATTACK_STIX_PATH`	脅威アクターデータの`enterprise-attack.json`へのパス（オプション）

クライアントごとの設定例（Cursor、VS Code、Claude Desktop、WSL）の詳細はセットアップガイドを参照してください。

検出コンテンツの取得

疎チェックアウトで全ソースをダウンロード（ルールのみ、完全リポジトリはダウンロードしません）：

Security-Detections-MCP

人気