Agent Skills
› MHaggis/Security-Detections-MCP
MHaggis/Security-Detections-MCP
GitHub用于将分散的检测规则组合成连贯的威胁叙事，支持Splunk、Elastic和Sentinel等SIEM平台。适用于新威胁活动、技术集群或合规性场景下的安全监控内容构建。
Install All Skills
npx skills add MHaggis/Security-Detections-MCP --all -g -y
Skills in Collection (15)
用于将分散的检测规则组合成连贯的威胁叙事，支持Splunk、Elastic和Sentinel等SIEM平台。适用于新威胁活动、技术集群或合规性场景下的安全监控内容构建。
创建新的威胁活动检测故事
将多个相关检测规则分组为攻击链叙事
生成符合SIEM标准的YAML格式分析报告
npx skills add MHaggis/Security-Detections-MCP --skill Analytic Story Builder -g -y
提供 Atomic Red Team 攻击模拟测试的执行与验证指南，涵盖标准及自定义原子化测试、SIEM 检测验证及多平台执行方式。
执行红队攻击模拟测试
验证安全检测规则有效性
配置 Atomic Red Team 环境
npx skills add MHaggis/Security-Detections-MCP --skill Atomic Red Team Testing -g -y
构建和管理用于安全检测工程仿真的测试环境，覆盖Splunk、Elastic、Sentinel等主流SIEM平台。通过映射数据源与基础设施，提供Lab搭建配置及环境变量指引。
需要为SIEM或检测规则构建测试环境
查询特定SIEM平台的实验室搭建工具
确定生成特定日志所需的基础设施组件
npx skills add MHaggis/Security-Detections-MCP --skill Test Environment Builder -g -y
用于分析检测覆盖率、识别安全漏洞并生成覆盖报告。支持通过Sigma/Splunk/Elastic规则检查战术技术覆盖，定位威胁缺口，提供检测建议及生成MITRE Navigator层。
检查检测对特定战术或技术的覆盖情况
基于威胁画像（如勒索软件）查找检测缺口
生成MITRE Navigator层以可视化检测结果
npx skills add MHaggis/Security-Detections-MCP --skill detection-coverage-analysis -g -y
专注于检测工程的CTI分析专家技能，支持MITRE ATT&CK映射、行为分析及跨SIEM平台（Splunk/KQL/Sigma/Elastic）的检测规则创建与威胁报告分析。
分析威胁报告
创建检测规则
映射MITRE技术
开发行为分析逻辑
npx skills add MHaggis/Security-Detections-MCP --skill cti-detection-engineer -g -y
用于创建、部署和执行自定义 Atomic Red Team 测试（T9999.XXX系列），以验证检测规则。涵盖 YAML 编写、Ansible 部署及手动替代方案，支持多平台靶标。
需要针对特定场景定制红队测试用例
标准 Atomic Red Team 测试无法覆盖当前检测需求
自动化部署安全测试到目标主机
npx skills add MHaggis/Security-Detections-MCP --skill Custom Atomics Deployment -g -y
将MITRE ATT&CK技术映射到Windows、Linux、云及网络数据源，并对比Splunk CIM、Elastic ECS等字段命名。
需要映射ATT&CK技术对应的数据源
比较不同SIEM平台的字段命名差异
npx skills add MHaggis/Security-Detections-MCP --skill Data Source Mapper -g -y
专家级检测规则质量保证审查员，对SIEM检测规则进行结构、逻辑、MITRE映射、误报风险及测试覆盖等8阶段全面验证。
需要审核安全检测规则质量时
执行检测规则上线前QA检查时
npx skills add MHaggis/Security-Detections-MCP --skill detection-reviewer -g -y
专注于安全检测验证的专家技能，利用 Atomic Red Team、攻击模拟及数据回放技术创建测试场景。旨在无需真实恶意软件的情况下，通过生成匹配检测逻辑的遥测数据，确保 SIEM 等平台上的检测规则能有效触发并覆盖实际恶意活动。
创建安全检测测试场景
验证 SIEM 检测有效性
设计误报/真阳性测试用例
npx skills add MHaggis/Security-Detections-MCP --skill detection-test-engineer -g -y
专注于为Splunk、Sigma、Elastic和Sentinel等多种SIEM平台创建和验证检测规则文件，确保符合仓库规范并优化查询性能。
创建安全检测规则
修改现有检测规则
验证检测规则合规性
npx skills add MHaggis/Security-Detections-MCP --skill detection-yaml-engineer -g -y
分析PR中的检测规则，识别覆盖缺口（如子技术、平台、规避变体），检查故事关联与质量，推荐补充检测、测试用例及协调相关PR，以提升合并前的安全检测覆盖率。
用户提交包含新检测规则的Pull Request
需要评估现有检测规则的覆盖完整性和关联性
npx skills add MHaggis/Security-Detections-MCP --skill PR Extension Workflow -g -y
提供Splunk、Sentinel和Elastic SIEM平台的检测查询优化指南，涵盖执行模型、反模式及性能调优技巧。
SIEM查询性能优化
SPL/KQL/EQL语法改进
安全检测规则编写
npx skills add MHaggis/Security-Detections-MCP --skill Detection Query Optimizer -g -y
专注于软件供应链攻击分析的安全技能，覆盖包注册表、CI/CD流水线及容器生态的威胁检测与事件响应。
需要分析npm或PyPI等包注册表的恶意更新或混淆攻击
评估GitHub Actions或GitLab CI流水线的注入与凭证泄露风险
排查Docker镜像篡改或构建层注入等容器安全事件
npx skills add MHaggis/Security-Detections-MCP --skill Supply Chain Attack Analyst -g -y
将非结构化威胁情报报告转化为可操作的检测逻辑，提取TTP、行为指标及MITRE ATT&CK映射，优先基于行为而非IOC生成高优先级检测规则。
分析CISA警报或厂商博客等威胁报告
从安全公告中提取检测逻辑
npx skills add MHaggis/Security-Detections-MCP --skill threat-report-parser -g -y
