需要统一查询多平台安全检测规则、按 MITRE…

在 LLM/IDE 中通过 MCP 统一检索 Sigma、Splunk、Elastic、KQL、Sublime、CrowdStrike 检测规则，并做 ATT&CK 覆盖、缺口和 Navigator 图层分析。

适用场景

解决思路

1. 用 `npx -y security-detections-mcp` 启动本地 MCP 检测规则服务器。
2. 在 Claude Desktop 的 `claude_desktop_config.json` 中配置 `mcpServers.security-detections`，`command` 为 `npx`，`args` 为 `-y security-detections-mcp`，并在 `env` 中设置各 `*_PATHS`。
3. 在 Cursor 的 `.cursor/settings.json` 中配置 `mcp.servers.security-detections`，同样使用 `npx` 和 `env` 路径。
4. 在 VS Code 的 `settings.json` 中配置 `mcp.servers.security-detections`，`type` 为 `stdio`，`command` 为 `npx`，`args` 为 `-y security-detections-mcp`，并设置 `env`。
5. 从 `https://detect.michaelhaag.org/account/tokens` 获取托管 MCP 的 API token；免费层为 200 calls/day，只读工具。
6. 在 Claude Desktop 使用托管 MCP：配置 `command` 为 `npx`，`args` 包含 `-y`、`mcp-remote`、`https://detect.michaelhaag.org/api/mcp/mcp`、`--header`、`Authorization: Bearer ${SDMCP_TOKEN}`。
7. 在 VS Code/Cursor 使用托管 MCP：配置 `type` 为 `http`，`url` 为 `https://detect.michaelhaag.org/api/mcp/mcp`，`headers.Authorization` 为 `Bearer ${SDMCP_TOKEN}`。
8. 下载 Sigma 规则：执行 `git clone --depth 1 --filter=blob:none --sparse https://github.com/SigmaHQ/sigma.git`，再执行 `git sparse-checkout set rules rules-threat-hunting`。
9. 下载 Splunk ESCU：执行 `git clone --depth 1 --filter=blob:none --sparse https://github.com/splunk/security_content.git`，再执行 `git sparse-checkout set detections stories`。
10. 下载 Elastic：执行 `git clone --depth 1 --filter=blob:none --sparse https://github.com/elastic/detection-rules.git`，再执行 `git sparse-checkout set rules`。
11. 下载 KQL：执行 `git clone --depth 1 https://github.com/Bert-JanP/Hunting-Queries-Detection-Rules.git kql-bertjanp` 和 `git clone --depth 1 https://github.com/jkerai1/KQL-Queries.git kql-jkerai1`。
12. 下载 Sublime：执行 `git clone --depth 1 --filter=blob:none --sparse https://github.com/sublime-security/sublime-rules.git`，再执行 `git sparse-checkout set detection-rules`。
13. 下载 CrowdStrike CQL：执行 `git clone --depth 1 https://github.com/ByteRay-Labs/Query-Hub.git cql-hub`。
14. 下载 MITRE ATT&CK STIX：执行 `curl -o enterprise-attack.json https://raw.githubusercontent.com/mitre/cti/master/enterprise-attack/enterprise-attack.json`。
15. 将检测规则仓库路径写入环境变量：`SIGMA_PATHS`、`SPLUNK_PATHS`、`STORY_PATHS`、`ELASTIC_PATHS`、`KQL_PATHS`、`SUBLIME_PATHS`、`CQL_HUB_PATHS`、`ATTACK_STIX_PATH`。
16. 使用 `search` 工具做全文检索，参数 `query` 如 `process injection`，`limit` 如 `10`。
17. 使用 `get_by_id` 按 ID 获取检测规则，参数 `id` 如 `sigma_abc123`。
18. 使用 `list_all` 分页列出所有检测，参数 `limit`、`offset`。
19. 使用 `list_by_source` 按来源过滤，`source_type` 可选 `sigma`、`splunk_escu`、`elastic`、`kql`、`sublime`、`crowdstrike_cql`。
20. 使用 `get_stats` 获取索引统计。
21. 使用 `list_by_mitre` 按技术 ID 查找检测，如 `T1059.001`。
22. 使用 `list_by_mitre_tactic` 按战术过滤，如 `execution`。
23. 使用 `list_by_cve` 按 CVE 查找，如 `CVE-2021-34527`。
24. 使用 `list_by_process_name` 按进程名查找，如 `powershell.exe`。
25. 使用 `list_by_severity` 按严重级别过滤，如 `critical`。
26. 使用 `list_by_data_source` 按数据源过滤，如 `process_creation`。
27. 使用 `analyze_coverage` 分析整体覆盖，可选 `source_type`。
28. 使用 `identify_gaps` 按威胁画像识别缺口，如 `ransomware`、`apt`、`persistence`、`lateral_movement`。
29. 使用 `suggest_detections` 按技术获取检测建议，如 `T1003.001`。
30. 使用 `get_coverage_summary` 按来源获取覆盖摘要，如 `splunk_escu`。
31. 使用 `analyze_actor_coverage` 分析针对威胁行为者的覆盖，如 `APT29`。
32. 使用 `compare_actor_coverage` 比较多个行为者覆盖，`actors` 传 `APT29`、`APT28`、`Lazarus Group` 列表。
33. 使用 `analyze_procedure_coverage` 分析技术的行为过程分解，如 `T1055`。
34. 使用 `generate_navigator_layer` 生成 ATT&CK Navigator 图层 JSON，参数 `name`、`description`、`filter`、`color_by`；`filter` 可含 `source`、`tactic`、`min_severity` 等，`color_by` 可选 `coverage`、`severity`、`source`。
35. 使用 `export_navigator_layer` 导出图层文件，参数 `output_path` 和 `filter`，如 `filter` 含 `actor`。
36. 勒索软件准备评估：使用内置 prompt `ransomware-readiness-assessment`，或手动依次调用 `identify_gaps` 传 `threat_profile` 为 `ransomware`、`list_by_mitre` 传 `technique_id` 为 `T1486`、`generate_navigator_layer` 传 `filter` 含 `threat_profile` 为 `ransomware`。
37. APT 威胁模拟：依次调用 `analyze_actor_coverage` 传 `actor` 为 `APT29`、`get_actor_techniques` 传 `actor` 为 `APT29`、`list_by_mitre` 传技术 ID 如 `T1059.001`、`compare_actor_coverage` 传 `actors` 为 `APT29` 和 `APT28`。
38. 检测缺口分析：依次调用 `get_coverage_summary`、`analyze_coverage`、`identify_gaps` 传 `threat_profile` 为 `apt`、`suggest_detections` 传 `technique_id` 如 `T1078`。
39. 构建检测内容：依次调用 `search` 传 `query` 如 `lateral movement SMB`、`analyze_procedure_coverage` 传 `technique_id` 为 `T1021.002`、`generate_detection_template` 传 `technique_id` 为 `T1021.002` 和 `format` 为 `sigma`、`list_by_mitre` 传 `technique_id` 为 `T1021.002` 做验证。
40. 跨平台检测比较：先调用 `list_by_mitre` 传 `technique_id` 为 `T1003.001` 并按 `source_type: sigma` 过滤，再调用 `list_by_source` 传 `source_type` 为 `splunk_escu` 并按同一技术过滤，最后分别调用 `analyze_coverage` 传 `source_type` 为 `sigma` 和 `splunk_escu` 比较。
41. 配置环境变量时，`SIGMA_PATHS` 等可用逗号分隔多个目录。
42. 可使用 source type 值：`sigma`、`splunk_escu`、`elastic`、`kql`、`sublime`、`crowdstrike_cql`。
43. 可使用 MITRE tactic 值：`reconnaissance`、`resource-development`、`initial-access`、`execution`、`persistence`、`privilege-escalation`、`defense-evasion`、`credential-access`、`discovery`、`lateral-movement`、`collection`、`command-and-control`、`exfiltration`、`impact`。
44. 若 `get_stats` 显示 0 条检测：验证路径存在如 `ls -la /path/to/sigma/rules`，检查 MCP 配置中的环境变量，手动调用 `rebuild_index`，查看 Claude Desktop 日志 `~/Library/Logs/Claude/mcp*.log`。
45. 若出现权限拒绝：对检测目录执行 `chmod -R 755 ~/detections`。
46. 若托管 MCP 返回 401：确认 token 以 `sdmcp_` 开头，检查 token 未过期，确认 `Authorization: Bearer` 头格式正确，并注意免费层 200 calls/day 限制。
47. 若缺少 MITRE ATT&CK 数据：执行 `curl -o ~/detections/enterprise-attack.json https://raw.githubusercontent.com/mitre/cti/master/enterprise-attack/enterprise-attack.json`，设置 `ATTACK_STIX_PATH`，调用 `rebuild_index`。
48. 若 Sigma 规则不解析：使用官方 SigmaHQ 仓库，执行 `cd sigma && git pull` 更新，实验性规则 schema 问题属预期，并检查 MCP 日志。
49. 若初始索引慢：8,200+ 检测首次启动 30+ 秒属预期，后续用缓存约 2 秒；可用托管 MCP 零启动时间，或减少 `PATHS` 只保留需要的来源。
50. 添加自定义检测仓库：在 `SIGMA_PATHS`、`SPLUNK_PATHS` 等环境变量中追加私有路径。
51. 配置自主检测流水线：调用 `configure_autonomous`，参数 `enabled` 为 `true`、`cti_sources` 为 `misp` 和 `otx`、`auto_pr` 为 `false`；再调用 `run_autonomous_analysis`，参数 `threat_actor` 为 `APT29`。
52. 导出给 SIEM：调用 `export_detections`，参数 `technique_id` 如 `T1055`、`format` 可选 `sigma`、`splunk`、`elastic`、`kql`、`output_path` 如 `./exports/process_injection.yml`。
53. 使用内置专家 prompts：`ransomware-readiness-assessment`、`apt-threat-emulation`、`purple-team-exercise`、`executive-briefing`、`detection-sprint-planning`、`insider-threat-detection`、`cloud-security-assessment`、`supply-chain-security`、`data-exfiltration-defense`、`initial-access-hardening`、`credential-theft-protection`；通过 `Use the <prompt> prompt` 调用。

适用边界 · 注意事项

• 不适用于没有 Node.js 18+、未准备检测规则仓库且无法使用托管 API token 的环境。
• 不适用于非防御检测工程、不需要 MITRE ATT&CK 映射或覆盖分析的普通规则搜索。
• 不要在生产环境无人工审查地自动生成 PR；`auto_pr` 应保持 `false`。