security-investigator-automation — скилл для Claude Code
Скилл для расследований безопасности: собирает данные из Sentinel, Defender XDR и Graph API по запросу на естественном языке.
npx skills add reason-machines/security-skills --skill security-investigator-automation -a claude-codeЧто делает security-investigator-automation
Скилл запускает расследования в стеке Microsoft: Sentinel, Defender XDR, Graph API и сервисы threat intelligence. Внутри 25 сценариев с KQL-запросами, обогащением индикаторов и сборкой HTML-отчёта. Работает в VS Code через Copilot Chat в режиме Agent, а также в Claude, Codex, Cursor, Gemini CLI и OpenCode.
Настраивается через три шаблона: config.json.template для идентификаторов рабочей области Sentinel и тенанта Azure, .env.template для ключей IPInfo, AbuseIPDB, vpnapi.io и Shodan, .vscode/mcp.json.template для MCP-серверов. Среди них @sentinel-datalake, @sentinel-triage, @graph-api, @kql-search, @microsoft-learn, @azure-mcp-server и @sentinel-graph в приватном превью. Без ключей threat intelligence часть обогащения не отработает.
Стартовая команда — «Run a threat pulse scan»: она проходит 9 доменов безопасности и выдаёт находки по приоритету. Дальше скилл сам подбирает сценарий по ключевым словам: пользователь, инцидент, индикатор, устройство, аутентификация, Conditional Access, дрейф поведения. Подробные сценарии вроде scope drift для устройства или сервисного принципала требуют настроенного baseline, поэтому первый запуск на новом тенанте даст мало данных.
Какие задачи решает
- проверить пользователя по журналам входов и алертам Identity Protection
- разобрать инцидент с оценкой критичности и привязкой к MITRE ATT&CK
- оценить репутацию IP по нескольким источникам threat intelligence
- найти дрейф в поведении устройства или сервисного принципала
- собрать HTML-отчёт по итогам расследования
Примеры запросов агенту
- Запусти threat pulse scan и покажи, что требует внимания
- Разбери инцидент 12345 и разложи сущности по MITRE ATT&CK
- Проверь, вредоносный ли IP 203.0.113.42
Как установить security-investigator-automation
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill security-investigator-automation -a claude-code2Вручную: положить файлы
~/.claude/skills/security-investigator-automation/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/security-investigator-automation/
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill security-investigator-automation -a codex2Вручную: положить файлы
.agents/skills/security-investigator-automation/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill security-investigator-automation -a cursor2Вручную: положить файлы
.cursor/skills/security-investigator-automation/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install reason-machines/security-skills security-investigator-automation2Вручную: положить файлы
.github/skills/security-investigator-automation/SKILL.md1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill security-investigator-automation -a gemini-cli2Командой платформы
gemini skills install https://github.com/reason-machines/security-skills --path skills/security-investigator-automationВручную: положить файлы
.devin/skills/security-investigator-automation/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill security-investigator-automation -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о security-investigator-automation
Как установить security-investigator-automation в Claude Code?
Выполните npx skills add reason-machines/security-skills --skill security-investigator-automation -a claude-code. Файл скилла окажется в ~/.claude/skills/security-investigator-automation/SKILL.md.
Что делает security-investigator-automation?
Запускает расследования безопасности в Microsoft Sentinel, Defender XDR и Graph API по запросу на естественном языке. Собирает данные, обогащает индикаторы из внешних источников и формирует HTML-отчёт.
Что нужно подготовить до первого запуска?
Заполнить config.json идентификаторами Sentinel и Azure, прописать ключи IPInfo, AbuseIPDB, vpnapi.io и Shodan в .env, а также настроить .vscode/mcp.json по шаблону.
