Agent Skills
› MHaggis/Security-Detections-MCP
MHaggis/Security-Detections-MCP
GitHub将相关检测规则分组为连贯的威胁叙事，覆盖Splunk、Elastic和Sentinel等SIEM平台。提供YAML模板与结构规范，用于构建攻击链分析故事，支持新威胁活动或技术簇的检测聚合。
安装全部 Skills
npx skills add MHaggis/Security-Detections-MCP --all -g -y
集合内 Skills (15)
将相关检测规则分组为连贯的威胁叙事，覆盖Splunk、Elastic和Sentinel等SIEM平台。提供YAML模板与结构规范，用于构建攻击链分析故事，支持新威胁活动或技术簇的检测聚合。
需要创建威胁检测叙事
对多个检测规则进行归类分组
生成符合SIEM标准的YAML故事文件
npx skills add MHaggis/Security-Detections-MCP --skill Analytic Story Builder -g -y
指导使用 Atomic Red Team 执行 adversary emulation 测试，覆盖标准与自定义原子测试、部署流程及检测验证。强调生成特定遥测数据以确认 SIEM 检测规则有效性，支持 PowerShell、Attack Range 和 Ansible 等多种执行方式。
需要执行红队模拟测试
验证安全检测规则有效性
配置或运行 Atomic Red Team
npx skills add MHaggis/Security-Detections-MCP --skill Atomic Red Team Testing -g -y
构建和管理用于安全检测工程的SIEM测试环境，支持Splunk、Elastic、Sentinel等平台。通过映射数据源到基础设施组件，生成所需遥测数据以验证检测规则。
需要搭建SIEM测试实验室
为检测规则构建攻击模拟环境
配置特定SIEM平台的日志源基础设施
npx skills add MHaggis/Security-Detections-MCP --skill Test Environment Builder -g -y
用于分析检测覆盖率，支持Sigma/Splunk/Elastic规则。提供覆盖率统计、威胁缺口识别、检测建议及Navigator层生成等功能，优化Token使用效率。
检查技术或战术的检测覆盖情况
根据威胁画像查找检测缺口
生成MITRE Navigator图层
npx skills add MHaggis/Security-Detections-MCP --skill detection-coverage-analysis -g -y
专注于检测工程与威胁情报分析的专家技能，支持MITRE ATT&CK映射及多SIEM平台（Splunk/KQL/Sigma/Elastic）的检测规则开发。适用于分析威胁报告、创建高保真检测逻辑及行为分析场景。
分析威胁报告
创建检测规则
映射MITRE技术
开发行为分析逻辑
npx skills add MHaggis/Security-Detections-MCP --skill cti-detection-engineer -g -y
用于创建、部署和执行自定义Atomic Red Team测试，以验证安全检测能力。涵盖T9999编号规范、YAML编写及Ansible部署配置。
需要自定义红队测试用例
验证特定检测规则
编写Atomic YAML文件
npx skills add MHaggis/Security-Detections-MCP --skill Custom Atomics Deployment -g -y
将MITRE ATT&CK技术映射至所需数据源，涵盖Windows、Linux、云及网络遥测。对比Splunk CIM、Elastic ECS等字段命名，辅助安全检测规则构建与SIEM平台适配。
查询ATT&CK技术对应的数据源
对比不同SIEM平台的字段映射
规划安全遥测采集方案
npx skills add MHaggis/Security-Detections-MCP --skill Data Source Mapper -g -y
安全检测规则质量审查专家，用于在部署前对检测规则进行全方位QA检查。涵盖结构、逻辑、MITRE映射、误报风险、测试覆盖及运营有效性，支持SPL、KQL、Sigma和Elastic格式。
审核新的安全检测规则
执行检测规则质量保证检查
验证SIEM查询语法与逻辑
npx skills add MHaggis/Security-Detections-MCP --skill detection-reviewer -g -y
专注于安全检测有效性的测试专家，利用Atomic Red Team、攻击模拟和数据重放技术生成遥测数据。旨在无需真实恶意软件的情况下验证SIEM等平台的检测逻辑，确保对实际恶意活动产生准确触发。
创建安全检测测试场景
验证检测规则有效性
执行原子红队测试
模拟攻击行为以触发告警
npx skills add MHaggis/Security-Detections-MCP --skill detection-test-engineer -g -y
专注于为Splunk、Sigma、Elastic和Sentinel等多平台SIEM创建和验证检测规则文件。确保符合仓库规范并优化查询性能，支持YAML/TOML格式及多平台模板。
创建安全检测规则
修改现有检测规则
验证SIEM规则合规性
npx skills add MHaggis/Security-Detections-MCP --skill detection-yaml-engineer -g -y
用于在合并前分析安全检测PR，识别覆盖缺口、故事对齐及测试缺失，并推荐扩展内容以提升检测质量和完整性。
需要审查安全检测代码拉取请求
希望扩展检测覆盖范围以增强安全性
npx skills add MHaggis/Security-Detections-MCP --skill PR Extension Workflow -g -y
针对Splunk、Sentinel和Elastic等SIEM平台的检测查询优化指南，涵盖执行模型、反模式及性能调优技巧。
SIEM检测规则性能不佳
需要优化SPL/KQL/EQL查询
npx skills add MHaggis/Security-Detections-MCP --skill Detection Query Optimizer -g -y
分析软件供应链攻击，覆盖包注册表、CI/CD流水线及容器生态。提供检测工程模式以支持Splunk等SIEM平台进行威胁狩猎与事件响应。
分析npm或PyPI恶意包事件
调查CI/CD流水线泄露或注入攻击
检测容器镜像篡改行为
生成SIEM安全检测规则
npx skills add MHaggis/Security-Detections-MCP --skill Supply Chain Attack Analyst -g -y
将非结构化威胁情报报告转化为可执行的安全检测逻辑。提取TTP、行为指标及MITRE ATT&CK映射，优先基于行为而非IOCs生成SIEM检测规则，适用于CISA公告或安全研究文档分析。
分析威胁情报报告
提取检测逻辑
npx skills add MHaggis/Security-Detections-MCP --skill threat-report-parser -g -y
