Agent Skills
› MHaggis/Security-Detections-MCP
MHaggis/Security-Detections-MCP
GitHub用于将分散的检测规则整合为连贯的威胁叙事，覆盖Splunk、Elastic等主流SIEM平台。支持新攻击活动或技术集群的场景，提供YAML结构化模板与最佳实践，提升安全监控与合规报告效率。
Install All Skills
npx skills add MHaggis/Security-Detections-MCP --all -g -y
Skills in Collection (15)
用于将分散的检测规则整合为连贯的威胁叙事，覆盖Splunk、Elastic等主流SIEM平台。支持新攻击活动或技术集群的场景，提供YAML结构化模板与最佳实践，提升安全监控与合规报告效率。
需要创建关联检测规则的威胁故事
整理特定攻击链路的检测覆盖率
生成符合MITRE ATT&CK框架的安全叙事
npx skills add MHaggis/Security-Detections-MCP --skill Analytic Story Builder -g -y
指导使用 Atomic Red Team 执行对手模拟测试，覆盖标准与自定义原子技术、部署流程及检测验证。旨在通过迭代测试生成遥测数据并确认安全检测规则生效。
执行红队模拟测试
验证 SIEM 检测规则
创建自定义攻击原子
测试安全遥测数据生成
npx skills add MHaggis/Security-Detections-MCP --skill Atomic Red Team Testing -g -y
构建和管理用于安全检测工程 adversary emulation 的实验室环境，支持 Splunk、Elastic、Azure Sentinel 等主流 SIEM 平台。通过映射数据源需求到基础设施组件，生成所需遥测数据，辅助检测规则开发与验证。
需要搭建 SIEM 测试环境
为检测规则准备日志数据源
配置 Attack Range 或 Elastic Lab
npx skills add MHaggis/Security-Detections-MCP --skill Test Environment Builder -g -y
用于分析安全检测覆盖率，支持通过Sigma、Splunk和Elastic规则检查战术/技术覆盖情况，识别威胁画像缺口，生成检测建议及MITRE Navigator图层。
检查特定战术或技术的检测覆盖率
根据威胁画像（如勒索软件、APT）查找检测缺口
为特定攻击技术生成检测建议
从现有检测数据生成Navigator图层
npx skills add MHaggis/Security-Detections-MCP --skill detection-coverage-analysis -g -y
专注威胁情报与检测工程的专家技能，支持多SIEM平台。用于分析威胁报告、创建检测规则、映射MITRE ATT&CK技术及开发行为分析逻辑，强调基于行为的检测而非IOCs。
分析威胁报告
创建检测规则
映射MITRE技术
开发行为分析
npx skills add MHaggis/Security-Detections-MCP --skill cti-detection-engineer -g -y
指导创建和部署自定义 Atomic Red Team 测试，使用 T9999.XXX 编号避免冲突。涵盖 YAML 编写、Ansible 部署及手动执行，用于验证安全检测能力。
需要验证特定场景的检测规则
标准 Atomic Red Team 测试无法覆盖当前场景
编写自定义原子测试的 YAML 配置
npx skills add MHaggis/Security-Detections-MCP --skill Custom Atomics Deployment -g -y
将MITRE ATT&CK技术映射至所需数据源，涵盖Windows、Linux、云及网络遥测。提供Splunk CIM、Elastic ECS、Sigma和KQL字段映射对比，辅助检测规则开发。
需要确定特定ATT&CK技术的采集数据源
进行SIEM平台间字段命名规范对比
设计安全检测规则所需的数据收集方案
npx skills add MHaggis/Security-Detections-MCP --skill Data Source Mapper -g -y
专家级检测规则QA审查技能，针对Splunk、Sigma等SIEM平台进行结构、逻辑、MITRE映射、误报风险及测试覆盖率的全面验证。
检测规则上线前审查
安全检测内容质量检查
npx skills add MHaggis/Security-Detections-MCP --skill detection-reviewer -g -y
专注于安全检测验证的专家技能，利用 Atomic Red Team、攻击模拟和数据重放等技术生成测试场景。旨在无需真实恶意软件的情况下，通过构造匹配检测逻辑的遥测数据，在 SIEM 平台中验证检测规则的有效性和准确性。
创建检测测试场景
验证 SIEM 检测有效性
执行原子红队测试
复现攻击数据以验证告警
npx skills add MHaggis/Security-Detections-MCP --skill detection-test-engineer -g -y
专注创建和验证多平台SIEM检测规则文件（Splunk、Sigma、Elastic、KQL），确保符合规范并优化查询性能。
创建或修改安全检测规则
生成SIEM兼容的检测文件
npx skills add MHaggis/Security-Detections-MCP --skill detection-yaml-engineer -g -y
分析安全检测PR，识别覆盖缺口并推荐扩展，包括子技术、故事关联和测试用例，确保合并前提升检测质量和完整性。
收到包含新安全检测的Pull Request
需要评估检测覆盖范围和故事对齐情况
npx skills add MHaggis/Security-Detections-MCP --skill PR Extension Workflow -g -y
提供Splunk、Sentinel和Elastic SIEM检测查询的性能优化指南，涵盖搜索管道原理、反模式及具体平台优化技巧。
SIEM检测规则性能优化
SPL/KQL/EQL查询加速
安全分析查询编写指导
npx skills add MHaggis/Security-Detections-MCP --skill Detection Query Optimizer -g -y
分析软件供应链攻击，覆盖包注册表、CI/CD流水线及容器生态。提供检测工程模式以支持Splunk等SIEM平台，辅助安全团队进行威胁识别与响应。
分析npm或PyPI恶意包
审查CI/CD流水线漏洞
检测容器镜像篡改
配置SIEM检测规则
npx skills add MHaggis/Security-Detections-MCP --skill Supply Chain Attack Analyst -g -y
分析非结构化威胁情报报告，提取可操作的检测逻辑、TTPs及MITRE ATT&CK映射。通过行为不变量识别和优先级评分，将报告转化为针对SIEM平台的高质量检测规则，侧重行为而非IOCs。
提供威胁报告或安全公告
需要生成基于ATT&CK的检测规则
分析CISA警告或厂商博客
npx skills add MHaggis/Security-Detections-MCP --skill threat-report-parser -g -y
