security-detections-mcp — скилл для Claude Code: обзор и запуск
Скилл связывает агента с MCP-сервером правил детекции для Sigma, Splunk, Elastic и KQL. Он пригодится при аудите покрытия угроз по матрице MITRE ATT&CK.
npx skills add reason-machines/security-skills --skill security-detections-mcp -a claude-codeЧто делает security-detections-mcp
Скилл открывает ИИ-агенту доступ к базе из 8200 правил обнаружения угроз. Поиск идёт сразу по шести форматам: Sigma, Splunk ESCU, Elastic, KQL, Sublime и CrowdStrike CQL. Внутри зашиты данные MITRE ATT&CK. Это 172 кибергруппировки, 784 образца вредоносного софта и 4362 связи между ними.
Инструмент находит слепые зоны мониторинга по тактикам и техникам. Он умеет выгружать слои для ATT&CK Navigator в формате JSON или собирать черновики pull request с правилами прямо из отчётов киберразведки. Полный локальный набор включает 81 инструмент MCP и 11 специализированных промптов. Они помогают моделировать атаки вымогателей. Для удалённого хостинга доступно около 25 инструментов.
Без локально склонированных каталогов правил и Node.js 18+ локальный сервер не запустится. Каталоги на диске обязательны. Как альтернатива есть удалённый хостинг, но бесплатный ключ даёт только 200 запросов в сутки без прав на запись.
Какие задачи решает
- Найти готовые правила детекции для конкретной техники MITRE ATT&CK
- Выявить пробелы в правилах мониторинга против программ-вымогателей
- Сгенерировать слой JSON для визуализации в ATT&CK Navigator
- Подобрать правила Splunk или Sigma для выявления сброса учётных данных
Примеры запросов агенту
- Найди правила Sigma для обнаружения инъекций в процессы
- Проверь наше покрытие по матрице MITRE ATT&CK для атак программ-вымогателей
- Покажи правила Splunk для выявления техник сброса учётных данных
Как установить security-detections-mcp
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill security-detections-mcp -a claude-code2Вручную: положить файлы
~/.claude/skills/security-detections-mcp/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/security-detections-mcp/
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill security-detections-mcp -a codex2Вручную: положить файлы
.agents/skills/security-detections-mcp/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill security-detections-mcp -a cursor2Вручную: положить файлы
.cursor/skills/security-detections-mcp/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install reason-machines/security-skills security-detections-mcp2Вручную: положить файлы
.github/skills/security-detections-mcp/SKILL.md1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill security-detections-mcp -a gemini-cli2Командой платформы
gemini skills install https://github.com/reason-machines/security-skills --path skills/security-detections-mcpВручную: положить файлы
.devin/skills/security-detections-mcp/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill security-detections-mcp -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о security-detections-mcp
Как установить security-detections-mcp в Claude Code?
Запустите в терминале команду npx skills add reason-machines/security-skills --skill security-detections-mcp -a claude-code. Она установит файл скилла по пути ~/.claude/skills/security-detections-mcp/SKILL.md.
Для чего нужен скилл security-detections-mcp?
Он позволяет искать правила детекции по базам Sigma, Splunk, Elastic, KQL, Sublime и CrowdStrike CQL прямо через диалог с ИИ. Скилл сопоставляет правила с техниками MITRE ATT&CK и находит пробелы в защите.
Чем отличается локальная установка от облачной?
Локальный запуск через npx -y security-detections-mcp открывает доступ к 81 инструменту MCP, но требует клонирования репозиториев с правилами на диск и Node.js 18+. Облачный вариант использует API-токен с сайта detect.michaelhaag.org/account/tokens, предоставляя около 25 инструментов в режиме чтения с лимитом 200 вызовов в день.
