Agent Skills
› MHaggis/Security-Detections-MCP
MHaggis/Security-Detections-MCP
GitHub用于将分散的检测规则组合成连贯的威胁叙事，涵盖Splunk、Elastic及Sentinel等SIEM平台。支持基于新威胁活动、技术集群或攻击链段创建结构化故事，提供YAML模板与最佳实践指导。
Install All Skills
npx skills add MHaggis/Security-Detections-MCP --all -g -y
Skills in Collection (15)
用于将分散的检测规则组合成连贯的威胁叙事，涵盖Splunk、Elastic及Sentinel等SIEM平台。支持基于新威胁活动、技术集群或攻击链段创建结构化故事，提供YAML模板与最佳实践指导。
需要将多个检测规则关联为统一威胁场景
为新发现的攻击活动或战术创建标准化叙事文档
整理和归类现有安全监控规则以覆盖特定Kill Chain阶段
npx skills add MHaggis/Security-Detections-MCP --skill Analytic Story Builder -g -y
用于执行和验证基于 Atomic Red Team 的对手模拟测试。涵盖标准及自定义原子技术，支持通过 PowerShell、Attack Range 或 Ansible 在目标主机上运行，并关联 SIEM 平台进行日志检测有效性验证。
需要执行安全红队模拟测试
验证安全检测规则（如 SPL/Sigma/KQL）的有效性
生成特定攻击技术的遥测数据以测试 SIEM 告警
npx skills add MHaggis/Security-Detections-MCP --skill Atomic Red Team Testing -g -y
构建和管理用于安全检测工程的测试环境，支持 Splunk、Elastic、Sentinel 等主流 SIEM 平台。提供基础设施映射、配置指南及构建流程，帮助生成所需的遥测数据以验证检测规则。
需要搭建安全检测测试环境
为特定 SIEM 平台配置攻击模拟实验室
查找生成特定日志源的基础设施方案
npx skills add MHaggis/Security-Detections-MCP --skill Test Environment Builder -g -y
用于分析检测覆盖率，识别安全漏洞并生成建议。支持通过Sigma/Splunk/Elastic规则检查战术、威胁行为者覆盖情况，或生成Navigator图层，旨在高效优化Token使用。
检查检测覆盖率
查找威胁档案中的漏洞
生成检测建议
创建Navigator图层
npx skills add MHaggis/Security-Detections-MCP --skill detection-coverage-analysis -g -y
专注于检测工程的CTI分析师技能，指导创建高保真度、行为驱动的安全检测规则。支持MITRE ATT&CK映射及多SIEM平台（Splunk/KQL/Sigma/Elastic）查询编写，强调降低误报与对抗规避。
分析威胁报告并提取攻击行为
基于ATT&CK框架编写或优化安全检测规则
将检测结果映射到具体的MITRE技术ID
评估现有检测逻辑的置信度和有效性
npx skills add MHaggis/Security-Detections-MCP --skill cti-detection-engineer -g -y
用于创建、部署和执行自定义 Atomic Red Team 测试（T9999系列），以验证检测规则。涵盖 YAML 编写、Ansible 部署及手动执行方式，支持 Windows/Linux/云等多平台靶标。
需要为特定检测场景创建自定义红队测试
使用 T9999.XXX 编号规范编写原子测试
npx skills add MHaggis/Security-Detections-MCP --skill Custom Atomics Deployment -g -y
将 MITRE ATT&CK 技术映射到 Windows、Linux、云及网络数据源，并对比 CIM、ECS、Sigma 和 KQL 字段命名，辅助安全检测规则构建。
需要确定检测特定 ATT&CK 技术所需的数据源
在不同 SIEM 平台间进行日志字段映射比较
npx skills add MHaggis/Security-Detections-MCP --skill Data Source Mapper -g -y
安全检测规则质量审查专家，针对Splunk、Elastic等SIEM平台，执行8阶段严格审查，验证结构、逻辑、MITRE映射、误报风险及测试覆盖，确保规则部署前的准确性与有效性。
需要审核安全检测规则
进行检测规则质量保证检查
验证SIEM查询语法与逻辑
npx skills add MHaggis/Security-Detections-MCP --skill detection-reviewer -g -y
安全检测测试专家，利用Atomic Red Team和攻击模拟工具创建测试场景，验证SIEM等平台检测规则的有效性，确保对恶意活动产生真实阳性响应。
创建检测测试场景
验证检测有效性
生成攻击遥测数据
npx skills add MHaggis/Security-Detections-MCP --skill detection-test-engineer -g -y
用于创建和验证多平台SIEM检测规则（Splunk、Sigma、Elastic、Sentinel），确保合规性与性能。
创建SIEM检测规则
修改安全检测规则
验证检测规则格式
npx skills add MHaggis/Security-Detections-MCP --skill detection-yaml-engineer -g -y
分析检测规则PR，识别覆盖缺口并推荐扩展，包括子技术、故事关联及测试用例，确保合并前质量。
分析新增或修改的检测规则Pull Request
评估MITRE ATT&CK技术覆盖完整性
检查检测与分析故事的关联对齐情况
npx skills add MHaggis/Security-Detections-MCP --skill PR Extension Workflow -g -y
针对Splunk、Sentinel和Elastic等SIEM平台，提供检测查询的性能优化指南。涵盖执行模型、反模式识别及SPL/KQL/EQL等平台特定的加速技巧。
优化安全检测查询性能
解决SIEM查询资源消耗过高问题
提升SPL/KQL/EQL查询效率
npx skills add MHaggis/Security-Detections-MCP --skill Detection Query Optimizer -g -y
用于分析软件供应链攻击的安全技能，覆盖包注册表、CI/CD管道及容器生态。提供攻击面分类、真实案例分析及检测工程模式，支持生成Splunk/Sentinel等SIEM规则。
分析npm/PyPI恶意包或依赖混淆攻击
调查GitHub Actions或GitLab CI流水线入侵事件
生成针对供应链攻击的SIEM检测规则
评估容器镜像篡改或基础镜像风险
npx skills add MHaggis/Security-Detections-MCP --skill Supply Chain Attack Analyst -g -y
专注于分析非结构化威胁情报报告，提取可操作的检测逻辑、TTP及MITRE ATT&CK映射。强调基于行为而非IOC的检测，提供优先级评分和标准化输出格式，适用于安全事件响应与防御体系构建。
收到CISA警报或厂商博客等威胁报告
需要提取TTP并生成SIEM检测规则
进行威胁情报分析与检测策略制定
npx skills add MHaggis/Security-Detections-MCP --skill threat-report-parser -g -y
