Security Detections MCP

LLMがSigma、Splunk ESCU、Elastic、KQL、Sublime、CrowdStrike CQLのセキュリティ検出ルールの統合データベースをクエリできるMCP（Model Context Protocol）サーバー。

初めてですか？セットアップガイド から始めてください -- macOS、Windows（WSLおよびネイティブ）、Linuxをステップバイステップでカバーします。

ホスティングを利用しますか？インストールを完全にスキップ：Hosted MCP セットアップガイド

2つの実行方法

ローカル（フルパワー） — 今見ているnpmパッケージです。自分のマシンで動作し、自身の検出リポジトリをインデックス化し、81のツールすべてを公開します。Node.jsと約10分が必要です。

ホスティング（セットアップ不要） — detect.michaelhaag.org/api/mcp/mcp にあるStreamable HTTPサーバー。サインアップしてトークンを生成し、1つのURLをMCPクライアントに貼り付けます。約25の読み取り専用ツール、常に最新コンテンツと同期、1日200回の無料呼び出し。クイックインストールボタンは以下をご覧ください。

インストール — ローカル

Claude Code（CLIワンライナー）：

claude mcp add security-detections -- npx -y security-detections-mcp

Claude Desktop — claude_desktop_config.jsonに追加：

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": ["-y", "security-detections-mcp"]
    }
  }
}

OpenAI Codex（CLI）：

codex mcp add security-detections -- npx -y security-detections-mcp

インストール後、環境変数（SIGMA_PATHS、SPLUNK_PATHSなど）を設定して、検出リポジトリを指定します。詳細はセットアップガイドを参照してください。

インストール — ホスティング（セットアップ不要、トークンが必要）

1. detect.michaelhaag.org/account/tokensでトークンを作成します。無料枠：1日200回の呼び出し、すべて読み取り専用ツール。
2. クライアントのボタンをクリック — 生成された設定内のsdmcp_YOUR_TOKEN_HEREを、作成したトークンに置き換えます。

Claude Code（CLIワンライナー）：

claude mcp add --transport http security-detections https://detect.michaelhaag.org/api/mcp/mcp --header "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"

Claude Desktop（mcp-remote経由 — デスクトップはまだネイティブでリモートHTTPをサポートしていません）：

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": [
        "-y",
        "mcp-remote",
        "https://detect.michaelhaag.org/api/mcp/mcp",
        "--header",
        "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"
      ]
    }
  }
}

OpenAI Codex（CLI）：

export SDMCP_TOKEN="sdmcp_YOUR_TOKEN_HERE" && codex mcp add security-detections --url https://detect.michaelhaag.org/api/mcp/mcp --bearer-token-env-var SDMCP_TOKEN

クライアントの完全な表、ツールの全インベントリ、トラブルシューティングのヒントについては、Hosted MCP セットアップガイドを参照してください。

AIモデルルーティング（Webアプリ）

Webチャットは、Free、Pro/Admin、BYOK（Bring Your Own Key）ルーティングをサポートしています。アクティブなモデルはチャットUIの上部に表示されます。

Free Tier（デフォルト）

• Default model: nvidia/nemotron-3-super-120b-a12b:free
• 最初のモデルがビジー状態の場合の自動フォールバック順序：
  1. nvidia/nemotron-3-super-120b-a12b:free
  2. nousresearch/hermes-3-llama-3.1-405b:free
  3. meta-llama/llama-3.3-70b-instruct:free
  4. openai/gpt-oss-120b:free

Pro/Admin（BYOKキー未設定）

アプリ管理のOpenRouterルーティングを使用し、/accountのPreferred Model設定に従います：

BYOKの動作（階層ルーティングより優先）

自身のAPIキーを設定した場合、ルーティングの優先順位は次のとおりです：

1. Claude key (sk-ant-...) -> claude-sonnet-4-6-20250514 via Anthropic
2. OpenAI key (sk-...) -> gpt-5.4 via OpenAI
3. OpenRouter key (sk-or-...) -> uses the same Preferred Model mapping table above

複数のキーが存在する場合、その順序で最初に一致したものが使用されます。

機能

• 8,200件以上の検出を6形式（Sigma、Splunk ESCU、Elastic、KQL、Sublime、CrowdStrike CQL）で
• MITRE ATT&CK STIX — 172の脅威アクター、784のソフトウェア、4,362のアクター・テクニック関係
• 手順レベルのカバレッジ — すべての検出ルールから自動抽出された行動クラスター
• ATT&CK Navigatorレイヤー — カバレッジ/ギャップJSONのエクスポート、ソース/戦術/重要度/アクターでフィルタリング可能
• 自律パイプライン — CTI取り込み → ギャップ分析 → 検出生成 → Atomicテスト → DRAFT PR（自律ドキュメント参照）
• 81のローカルツール / 約25のホストツール — 統合検索、MITREマッピング、カバレッジ分析、知識グラフ、パターン学習、スプリント計画
• 11のMCPプロンプト — ランサムウェア評価、APTエミュレーション、パープルチーム、役員ブリーフィングなど
• MCPリソースと補完 — 読み取り可能なコンテキスト、テクニックID、CVE、プロセス名のオートコンプリート

クイックスタート

npx -y security-detections-mcp

またはクローンしてビルド：git clone https://github.com/MHaggis/Security-Detections-MCP.git && cd Security-Detections-MCP && npm install && npm run build

環境変数を設定して検出リポジトリを指定：

クライアントごとの設定例（Cursor、VS Code、Claude Desktop、WSL）の詳細はセットアップガイドを参照してください。

検出コンテンツの取得

疎チェックアウトで全ソースをダウンロード（ルールのみ、完全リポジトリはダウンロードしません）：

mkdir -p detections && cd detections
git clone --depth 1 --filter=blob:none --sparse https://github.com/SigmaHQ/sigma.git && cd sigma && git sparse-checkout set rules rules-threat-hunting && cd ..
git clone --depth 1 --filter=blob:none --sparse https://github.com/splunk/security_content.git && cd security_content && git sparse-checkout set detections stories && cd ..
git clone --depth 1 --filter=blob:none --sparse https://github.com/elastic/detection-rules.git && cd detection-rules && git sparse-checkout set rules && cd ..
git clone --depth 1 https://github.com/Bert-JanP/Hunting-Queries-Detection-Rules.git kql-bertjanp
git clone --depth 1 https://github.com/jkerai1/KQL-Queries.git kql-jkerai1
git clone --depth 1 --filter=blob:none --sparse https://github.com/sublime-security/sublime-rules.git && cd sublime-rules && git sparse-checkout set detection-rules && cd ..
git clone --depth 1 https://github.com/ByteRay-Labs/Query-Hub.git cql-hub

MCPツール

コア検出ツール

MITRE ATT&CKとフィルタリング

カバレッジと分析（トークン最適化）

エンジニアリング、ナレッジグラフなど

パターン学習、テンプレート生成、ナレッジグラフ、動的テーブル、自律分析を含む合計81ツール。完全なリストはツールリファレンスを参照してください。

MCPプロンプト

11のプレビルド専門家ワークフロー。名前で呼び出すだけ：

You: "Run apt-threat-emulation for APT29"
→ Technique-by-technique coverage, gaps, and purple team test plan

MITRE ATT&CK MCPとの連携

mitre-attack-mcpと組み合わせて、完全な脅威カバレッジ分析を実現します。両方をインストール：

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": ["-y", "security-detections-mcp"],
      "env": { "SIGMA_PATHS": "/path/to/sigma/rules" }
    },
    "mitre-attack": {
      "command": "npx",
      "args": ["-y", "mitre-attack-mcp"],
      "env": { "ATTACK_DOMAIN": "enterprise-attack" }
    }
  }
}

統計

開発

npm install && npm run build && npm test

ドキュメント

• セットアップガイド — 全プラットフォーム向けの完全なインストール手順
• Hosted MCP ガイド — ホスティング設定、トークン管理、ツール一覧
• 自律プラットフォーム — CTIから検出へのパイプライン
• E2Eテストガイド — SIEMごとの設定（Splunk、Sentinel、Elastic、Sigma）
• アーキテクチャ — システム設計の決定
• ナレッジグラフ — 暗黙知と分析的記憶
• エンジニアリングインテリジェンス — パターン学習とテンプレート
• ツールリファレンス — 全81ツールの完全リファレンス

ライセンス

Apache 2.0