Prototipo · Versión preliminar: todos los servidores del registro oficial, sincronizados cada 30 minutos. Inicia sesión con Google para escribir reseñas.Prototipo · se actualiza cada 30 min
PopNx MCPServidores MCP para quienes usan IA · en palabras sencillas
☰ MenúEspañol Ajustes
Modo principiante Desactivado
ColoresSistemaClaroBlancoOscuro
IdiomaไทยEnglish中文日本語한국어EspañolDeutsch

Security Detections

de MHaggisversión 3.3.4i★ 527iSe ejecuta en tu computadora
Nombre en el registroio.github.MHaggis/security-detections-mcp

Cómo instalar

What it does

Search security detections across Sigma, Splunk, Elastic, KQL, Sublime, CQL and Jamf with ATT&CK.

  • Connects Se ejecuta en tu computadora
  • Account or key No key needed
  • Category Ciberseguridad

Instalación

Elige la app de IA que usas y copia la configuración.

Pasó 2/3 revisiones · Funciona en tu computadora · ✓ Comandos revisados el 14 nov 2026

Primero: ¿qué IA usas?

Elige tu app y los pasos aparecen abajo.

Funciona con Claude, pero hay que preparar algo antes

Instala Node.js en tu computadora primero (una sola vez) · Solo en la app de Claude para computadora (Windows o Mac), no en la web ni en el móvil

  1. Instala Node.js

    Una sola vez; sirve para todos los servidores que necesitan Node.js

    Abrir la página de descarga de Node.js ↗

  2. Abre el archivo de configuración de la app de Claude de escritorio

    SettingsDeveloperEdit Config

  3. Pega esta configuración y guarda el archivo

    {
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": [
        "-y",
        "security-detections-mcp"
      ]
    }
  }
}

  4. Cierra Claude y vuelve a abrirlo

  5. Pruébalo

    Usa Security Detections y dime qué puedes hacer por mí; luego muéstrame una cosa

    ✓ Si Claude dice que está usando Security Detections o muestra una herramienta de Security Detections en la respuesta, ya está conectado

8 ajuste(s) opcional(es) (funciona sin ellos)

El comando de arriba funciona sin estos valores. Añádelos solo si quieres cambiar algo, según la descripción del autor.

  • SIGMA_PATHS Rutas de directorios de reglas Sigma separadas por comas (p. ej., /path/to/sigma/rules,/path/to/sigma/rules-threat-hunting)
    Ver original en inglésComma-separated paths to Sigma rule directories (e.g., /path/to/sigma/rules,/path/to/sigma/rules-threat-hunting)
  • SPLUNK_PATHS Rutas separadas por comas a los directorios de detección ESCU de Splunk (p. ej., /path/to/security_content/detections)
    Ver original en inglésComma-separated paths to Splunk ESCU detection directories (e.g., /path/to/security_content/detections)
  • ELASTIC_PATHS Rutas de directorios de reglas de detección de Elastic separadas por comas (p. ej., /path/to/detection-rules/rules)
    Ver original en inglésComma-separated paths to Elastic detection rule directories (e.g., /path/to/detection-rules/rules)
  • KQL_PATHS Rutas de directorios de consultas de caza KQL separadas por comas (p. ej., /path/to/kql-queries)
    Ver original en inglésComma-separated paths to KQL hunting query directories (e.g., /path/to/kql-queries)
  • SUBLIME_PATHS Rutas separadas por comas a los directorios de reglas MQL de Sublime (p. ej., /path/to/sublime-rules/detection-rules,/path/to/delivr-detections/sublime-rules)
    Ver original en inglésComma-separated paths to Sublime MQL rule directories (e.g., /path/to/sublime-rules/detection-rules,/path/to/delivr-detections/sublime-rules)
  • CQL_HUB_PATHS Rutas de directorios de consultas de CQL Hub (CrowdStrike) separadas por comas (p. ej., /path/to/cql-hub/queries)
    Ver original en inglésComma-separated paths to CQL Hub (CrowdStrike) query directories (e.g., /path/to/cql-hub/queries)
  • JAMF_PROTECT_PATHS Rutas de directorios de detección analítica personalizada de Jamf Protect separadas por comas (macOS, p. ej., /path/to/jamfprotect/custom_analytic_detections)
    Ver original en inglésComma-separated paths to Jamf Protect custom analytic detection directories (macOS, e.g., /path/to/jamfprotect/custom_analytic_detections)
  • STORY_PATHS Rutas separadas por comas a los directorios de historias analíticas de Splunk (opcional, p. ej., /path/to/security_content/stories)
    Ver original en inglésComma-separated paths to Splunk analytic story directories (optional, e.g., /path/to/security_content/stories)

Descripciones traducidas automáticamente; los nombres de variables quedan como en el original. Si dudas, mira el original.

Nombres de menú comprobados con la ayuda de Anthropic el 11 nov 2026 · tu pantalla puede variar un poco según la versión

ChatGPT todavía no puede conectar Security Detections

Security Detections se instala en tu computadora, pero ChatGPT solo conecta servidores que funcionan en la web

Lo que puedes hacer en su lugar

A · Usa una app que pueda conectar Security Detections

  • Instala Node.js en tu computadora primero (una sola vez) · Solo en la app de Claude para computadora (Windows o Mac), no en la web ni en el móvil
  • Instala Node.js en tu computadora primero (una sola vez)
  • Instala Node.js en tu computadora primero (una sola vez)
  • Instala Node.js en tu computadora primero (una sola vez)

B · Otros en Ciberseguridad que funcionan con ChatGPT

Elegidos entre los más usados de la misma categoría, solo los que se conectan con una dirección y sin clave

Funciona con Claude Code, pero hay que preparar algo antes

Instala Node.js en tu computadora primero (una sola vez)

  1. Instala Node.js

    Una sola vez; sirve para todos los servidores que necesitan Node.js

    Abrir la página de descarga de Node.js ↗

  2. Abre la Terminal

    Mac: pulsa Command+Espacio y escribe Terminal · Windows: abre PowerShell

  3. Pega este comando y pulsa Enter

    claude mcp add --scope user security-detections -- npx -y security-detections-mcp

  4. Escribe /mcp en Claude Code

    Deberías ver Security Detections en la lista como conectado

  5. Pruébalo

    Usa Security Detections y dime qué puedes hacer por mí; luego muéstrame una cosa

    ✓ Si Claude Code dice que está usando Security Detections o muestra una herramienta de Security Detections en la respuesta, ya está conectado

8 ajuste(s) opcional(es) (funciona sin ellos)

El comando de arriba funciona sin estos valores. Añádelos solo si quieres cambiar algo, según la descripción del autor.

  • SIGMA_PATHS Rutas de directorios de reglas Sigma separadas por comas (p. ej., /path/to/sigma/rules,/path/to/sigma/rules-threat-hunting)
    Ver original en inglésComma-separated paths to Sigma rule directories (e.g., /path/to/sigma/rules,/path/to/sigma/rules-threat-hunting)
  • SPLUNK_PATHS Rutas separadas por comas a los directorios de detección ESCU de Splunk (p. ej., /path/to/security_content/detections)
    Ver original en inglésComma-separated paths to Splunk ESCU detection directories (e.g., /path/to/security_content/detections)
  • ELASTIC_PATHS Rutas de directorios de reglas de detección de Elastic separadas por comas (p. ej., /path/to/detection-rules/rules)
    Ver original en inglésComma-separated paths to Elastic detection rule directories (e.g., /path/to/detection-rules/rules)
  • KQL_PATHS Rutas de directorios de consultas de caza KQL separadas por comas (p. ej., /path/to/kql-queries)
    Ver original en inglésComma-separated paths to KQL hunting query directories (e.g., /path/to/kql-queries)
  • SUBLIME_PATHS Rutas separadas por comas a los directorios de reglas MQL de Sublime (p. ej., /path/to/sublime-rules/detection-rules,/path/to/delivr-detections/sublime-rules)
    Ver original en inglésComma-separated paths to Sublime MQL rule directories (e.g., /path/to/sublime-rules/detection-rules,/path/to/delivr-detections/sublime-rules)
  • CQL_HUB_PATHS Rutas de directorios de consultas de CQL Hub (CrowdStrike) separadas por comas (p. ej., /path/to/cql-hub/queries)
    Ver original en inglésComma-separated paths to CQL Hub (CrowdStrike) query directories (e.g., /path/to/cql-hub/queries)
  • JAMF_PROTECT_PATHS Rutas de directorios de detección analítica personalizada de Jamf Protect separadas por comas (macOS, p. ej., /path/to/jamfprotect/custom_analytic_detections)
    Ver original en inglésComma-separated paths to Jamf Protect custom analytic detection directories (macOS, e.g., /path/to/jamfprotect/custom_analytic_detections)
  • STORY_PATHS Rutas separadas por comas a los directorios de historias analíticas de Splunk (opcional, p. ej., /path/to/security_content/stories)
    Ver original en inglésComma-separated paths to Splunk analytic story directories (optional, e.g., /path/to/security_content/stories)

Descripciones traducidas automáticamente; los nombres de variables quedan como en el original. Si dudas, mira el original.

Nombres de menú comprobados con la ayuda de Anthropic el 11 nov 2026 · tu pantalla puede variar un poco según la versión

Funciona con Cursor, pero hay que preparar algo antes

Instala Node.js en tu computadora primero (una sola vez)

  1. Instala Node.js

    Una sola vez; sirve para todos los servidores que necesitan Node.js

    Abrir la página de descarga de Node.js ↗

  2. Pulsa este botón para abrir Cursor

    Abrir en Cursor

    Cursor te pedirá confirmar; pulsa Install

  3. Abre el chat de IA de Cursor en modo Agent

  4. Pruébalo

    Usa Security Detections y dime qué puedes hacer por mí; luego muéstrame una cosa

    ✓ Si Cursor dice que está usando Security Detections o muestra una herramienta de Security Detections en la respuesta, ya está conectado

8 ajuste(s) opcional(es) (funciona sin ellos)

El comando de arriba funciona sin estos valores. Añádelos solo si quieres cambiar algo, según la descripción del autor.

  • SIGMA_PATHS Rutas de directorios de reglas Sigma separadas por comas (p. ej., /path/to/sigma/rules,/path/to/sigma/rules-threat-hunting)
    Ver original en inglésComma-separated paths to Sigma rule directories (e.g., /path/to/sigma/rules,/path/to/sigma/rules-threat-hunting)
  • SPLUNK_PATHS Rutas separadas por comas a los directorios de detección ESCU de Splunk (p. ej., /path/to/security_content/detections)
    Ver original en inglésComma-separated paths to Splunk ESCU detection directories (e.g., /path/to/security_content/detections)
  • ELASTIC_PATHS Rutas de directorios de reglas de detección de Elastic separadas por comas (p. ej., /path/to/detection-rules/rules)
    Ver original en inglésComma-separated paths to Elastic detection rule directories (e.g., /path/to/detection-rules/rules)
  • KQL_PATHS Rutas de directorios de consultas de caza KQL separadas por comas (p. ej., /path/to/kql-queries)
    Ver original en inglésComma-separated paths to KQL hunting query directories (e.g., /path/to/kql-queries)
  • SUBLIME_PATHS Rutas separadas por comas a los directorios de reglas MQL de Sublime (p. ej., /path/to/sublime-rules/detection-rules,/path/to/delivr-detections/sublime-rules)
    Ver original en inglésComma-separated paths to Sublime MQL rule directories (e.g., /path/to/sublime-rules/detection-rules,/path/to/delivr-detections/sublime-rules)
  • CQL_HUB_PATHS Rutas de directorios de consultas de CQL Hub (CrowdStrike) separadas por comas (p. ej., /path/to/cql-hub/queries)
    Ver original en inglésComma-separated paths to CQL Hub (CrowdStrike) query directories (e.g., /path/to/cql-hub/queries)
  • JAMF_PROTECT_PATHS Rutas de directorios de detección analítica personalizada de Jamf Protect separadas por comas (macOS, p. ej., /path/to/jamfprotect/custom_analytic_detections)
    Ver original en inglésComma-separated paths to Jamf Protect custom analytic detection directories (macOS, e.g., /path/to/jamfprotect/custom_analytic_detections)
  • STORY_PATHS Rutas separadas por comas a los directorios de historias analíticas de Splunk (opcional, p. ej., /path/to/security_content/stories)
    Ver original en inglésComma-separated paths to Splunk analytic story directories (optional, e.g., /path/to/security_content/stories)

Descripciones traducidas automáticamente; los nombres de variables quedan como en el original. Si dudas, mira el original.

Nombres de menú comprobados con la ayuda de Cursor el 11 nov 2026 · tu pantalla puede variar un poco según la versión

Funciona con VS Code, pero hay que preparar algo antes

Instala Node.js en tu computadora primero (una sola vez)

  1. Instala Node.js

    Una sola vez; sirve para todos los servidores que necesitan Node.js

    Abrir la página de descarga de Node.js ↗

  2. Pulsa este botón para abrir VS Code

    Abrir en VS Code

    VS Code te pedirá confirmar; pulsa Install

  3. Abre el chat de IA de VS Code en modo Agent

  4. Pruébalo

    Usa Security Detections y dime qué puedes hacer por mí; luego muéstrame una cosa

    ✓ Si VS Code dice que está usando Security Detections o muestra una herramienta de Security Detections en la respuesta, ya está conectado

8 ajuste(s) opcional(es) (funciona sin ellos)

El comando de arriba funciona sin estos valores. Añádelos solo si quieres cambiar algo, según la descripción del autor.

  • SIGMA_PATHS Rutas de directorios de reglas Sigma separadas por comas (p. ej., /path/to/sigma/rules,/path/to/sigma/rules-threat-hunting)
    Ver original en inglésComma-separated paths to Sigma rule directories (e.g., /path/to/sigma/rules,/path/to/sigma/rules-threat-hunting)
  • SPLUNK_PATHS Rutas separadas por comas a los directorios de detección ESCU de Splunk (p. ej., /path/to/security_content/detections)
    Ver original en inglésComma-separated paths to Splunk ESCU detection directories (e.g., /path/to/security_content/detections)
  • ELASTIC_PATHS Rutas de directorios de reglas de detección de Elastic separadas por comas (p. ej., /path/to/detection-rules/rules)
    Ver original en inglésComma-separated paths to Elastic detection rule directories (e.g., /path/to/detection-rules/rules)
  • KQL_PATHS Rutas de directorios de consultas de caza KQL separadas por comas (p. ej., /path/to/kql-queries)
    Ver original en inglésComma-separated paths to KQL hunting query directories (e.g., /path/to/kql-queries)
  • SUBLIME_PATHS Rutas separadas por comas a los directorios de reglas MQL de Sublime (p. ej., /path/to/sublime-rules/detection-rules,/path/to/delivr-detections/sublime-rules)
    Ver original en inglésComma-separated paths to Sublime MQL rule directories (e.g., /path/to/sublime-rules/detection-rules,/path/to/delivr-detections/sublime-rules)
  • CQL_HUB_PATHS Rutas de directorios de consultas de CQL Hub (CrowdStrike) separadas por comas (p. ej., /path/to/cql-hub/queries)
    Ver original en inglésComma-separated paths to CQL Hub (CrowdStrike) query directories (e.g., /path/to/cql-hub/queries)
  • JAMF_PROTECT_PATHS Rutas de directorios de detección analítica personalizada de Jamf Protect separadas por comas (macOS, p. ej., /path/to/jamfprotect/custom_analytic_detections)
    Ver original en inglésComma-separated paths to Jamf Protect custom analytic detection directories (macOS, e.g., /path/to/jamfprotect/custom_analytic_detections)
  • STORY_PATHS Rutas separadas por comas a los directorios de historias analíticas de Splunk (opcional, p. ej., /path/to/security_content/stories)
    Ver original en inglésComma-separated paths to Splunk analytic story directories (optional, e.g., /path/to/security_content/stories)

Descripciones traducidas automáticamente; los nombres de variables quedan como en el original. Si dudas, mira el original.

Nombres de menú comprobados con la ayuda de VS Code el 11 nov 2026 · tu pantalla puede variar un poco según la versión

Otras apps que usan MCP, como Windsurf, Zed o Gemini CLI, añaden servidores de forma distinta. Míralo en la lista de apps

Ver todas las apps que usan MCP →

La configuración JSON está en “Para desarrolladores”, abajo

¿Te atascaste? Pregunta a quien usa Security Detections💬 Conversación →
Para desarrolladores: comandos de Terminal y configuración JSON

Instalado en tu computadora

Claude Code

claude mcp add --scope user security-detections -- npx -y security-detections-mcp

Claude Desktop (claude_desktop_config.json)

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": [
        "-y",
        "security-detections-mcp"
      ]
    }
  }
}

Cursor (~/.cursor/mcp.json)

{
  "mcpServers": {
    "security-detections": {
      "command": "npx",
      "args": [
        "-y",
        "security-detections-mcp"
      ]
    }
  }
}

VS Code (mcp.json)

{
  "servers": {
    "security-detections": {
      "type": "stdio",
      "command": "npx",
      "args": [
        "-y",
        "security-detections-mcp"
      ]
    }
  }
}

Valores que debes completar

  • SIGMA_PATHS env
    Rutas de directorios de reglas Sigma separadas por comas (p. ej., /path/to/sigma/rules,/path/to/sigma/rules-threat-hunting)
    Ver original en inglésComma-separated paths to Sigma rule directories (e.g., /path/to/sigma/rules,/path/to/sigma/rules-threat-hunting)
  • SPLUNK_PATHS env
    Rutas separadas por comas a los directorios de detección ESCU de Splunk (p. ej., /path/to/security_content/detections)
    Ver original en inglésComma-separated paths to Splunk ESCU detection directories (e.g., /path/to/security_content/detections)
  • ELASTIC_PATHS env
    Rutas de directorios de reglas de detección de Elastic separadas por comas (p. ej., /path/to/detection-rules/rules)
    Ver original en inglésComma-separated paths to Elastic detection rule directories (e.g., /path/to/detection-rules/rules)
  • KQL_PATHS env
    Rutas de directorios de consultas de caza KQL separadas por comas (p. ej., /path/to/kql-queries)
    Ver original en inglésComma-separated paths to KQL hunting query directories (e.g., /path/to/kql-queries)
  • SUBLIME_PATHS env
    Rutas separadas por comas a los directorios de reglas MQL de Sublime (p. ej., /path/to/sublime-rules/detection-rules,/path/to/delivr-detections/sublime-rules)
    Ver original en inglésComma-separated paths to Sublime MQL rule directories (e.g., /path/to/sublime-rules/detection-rules,/path/to/delivr-detections/sublime-rules)
  • CQL_HUB_PATHS env
    Rutas de directorios de consultas de CQL Hub (CrowdStrike) separadas por comas (p. ej., /path/to/cql-hub/queries)
    Ver original en inglésComma-separated paths to CQL Hub (CrowdStrike) query directories (e.g., /path/to/cql-hub/queries)
  • JAMF_PROTECT_PATHS env
    Rutas de directorios de detección analítica personalizada de Jamf Protect separadas por comas (macOS, p. ej., /path/to/jamfprotect/custom_analytic_detections)
    Ver original en inglésComma-separated paths to Jamf Protect custom analytic detection directories (macOS, e.g., /path/to/jamfprotect/custom_analytic_detections)
  • STORY_PATHS env
    Rutas separadas por comas a los directorios de historias analíticas de Splunk (opcional, p. ej., /path/to/security_content/stories)
    Ver original en inglésComma-separated paths to Splunk analytic story directories (optional, e.g., /path/to/security_content/stories)

Descripciones traducidas automáticamente; los nombres de variables quedan como en el original. Si dudas, mira el original.

Esta configuración se genera a partir de la ficha del creador en el registro. Si el README dice otra cosa, sigue el README.

De un vistazo

Descargas por semanai
1661/sem
Licenciai
Sin licencia indicada
Conexión
Se ejecuta en tu computadora
Última versióni
3.3.4
Categoríai
Ciberseguridad
Publicado en el registroi
5 nov 2026
Último cambio de códigoi
5 nov 2026
Creador
MHaggis
Paquetes
npm: security-detections-mcp
Estado en el registro
Activo

Qué apps pueden usarlo

Según cómo se conecta este servidor y la documentación de cada app, comprobado el 10 nov 2026.

Se ejecutan en tu computadora en

ClaudeGooseLM StudioMsty StudioCherry StudioCursorVS Code + GitHub CopilotVisual StudioWindsurf (Devin Desktop)ZedKiroClineContinueJetBrains AI AssistantClaude CodeCodex CLIGemini CLIOpenCodenodecodeWarpLibreChatRaycast

Todas las apps, con ventajas y desventajas →

Qué puede hacer

Se ejecuta en tu computadora; la lista de herramientas aparece en tu app de IA después de instalarlo.

Revisiones básicasi

Revisamos información que cualquiera puede ver; no hemos leído el código. Las revisiones que no aplican no se cuentan. · Revisado el 14 nov 2026

  • ✓ Superada

    El creador coincide con el repo

    El nombre en el registro se verificó con la cuenta de GitHub MHaggis, dueña del repo

  • ✓ Superada

    Sigue en mantenimiento

    Último cambio de código: hace 9 días

  • ✕ No superada

    Tiene licencia

    No se encontró ningún archivo de licencia en el repo

  • – No aplica

    El endpoint responde

    Este se ejecuta en tu computadora; no hay endpoint en internet

  • – No aplica

    Inicio de sesión con OAuth

    Se ejecuta en tu computadora y usa ajustes locales en su lugar

  • … Aún sin revisar

    Sin instrucciones ocultas en las descripciones de herramientas

    Se ejecuta en tu computadora; solo podemos leer listas de herramientas de endpoints en internet

Conversación

Pregunta, comparte un consejo o avisa de que no funciona. Ordenado por lo que la gente marcó como útil.

Aún no hay publicaciones. Sé la primera persona en preguntar o compartir.

Lo publicado aquí lo escriben usuarios, no el equipo de PopNx.

Inicia sesión con Google para publicar

Reseñas de usuarios

Aún no hay reseñas

Inicia sesión con Google para escribir una reseña

Comparado con otros en Ciberseguridadi

  • Más estrellas que el 99% de los otros 1060 servidores de esta categoría
  • Publicado en el registro más recientemente que el 78% de los otros 1060 servidores de esta categoría
  • Revisiones básicas iguales o mejores que el 46% de los otros 1060 servidores de esta categoría

Comparado con todos los servidores activos de esta categoría en el registro. Las estrellas solo cuentan cuando quien lo publica es dueño del repo.

Preguntas frecuentes

¿Es seguro Security Detections?

Superó 2 de 3 revisiones básicas aplicables. No hemos leído el código. Antes de agregar una clave o un token, revisa qué acceso pide el servidor y usa una clave que tenga solo los permisos que necesitas.

¿Qué claves o códigos necesita?

El registro no indica ninguna clave obligatoria, aunque algunos servidores te piden iniciar sesión la primera vez que los usas.

¿Se ejecuta en mi computadora o en la nube?

Se ejecuta en tu computadora. Tu app de IA lo inicia cuando hace falta, y los datos no pasan por los servidores del creador (a menos que el propio servidor llame a un servicio en línea).

¿Sigue en mantenimiento?

El repo de GitHub cambió por última vez hace 9 días, y la última versión (3.3.4) llegó al registro hace 9 días.

¿Qué apps pueden usarlo?

Las apps compatibles con MCP, como Claude Desktop, Claude Code, Cursor y VS Code. También necesitas Node.js en tu computadora.

¿Qué puedo usar en su lugar?

En la misma categoría: Robin: AI-Powered Dark Web OSINT, HOL Guard, SonarQube MCP Server

Otros de la misma categoría

Servidores de la misma categoría hechos por otros creadores, ordenados por estrellas.

Cómo leer una tarjeta:↓ Descargas por semanai★ Estrellas de GitHubiTres pilares: reseñas · revisiones · usoiActualizado = fecha en que se publicó la última versión en el registroi

Robin: AI-Powered Dark Web OSINT

Dark web OSINT over Tor: search onion engines, scrape pages, report with your own model.

de apurvsinghgautamEn crecimiento★ 8 milActualizado hace 42 días

Se ejecuta en tu computadora
Instalar

HOL Guard

Local-first AI agent security evidence and approval workflows through HOL Guard's stdio MCP server.

de hashgraph-onlineMuy usado↓ 7,1 mil/sem★ 1,1 milActualizado hace 9 días

Se ejecuta en tu computadora
Instalar

SonarQube MCP Server

Analyze code quality and security with SonarQube Server or Cloud directly in AI assistants.

de SonarSourceEn crecimiento★ 686Actualizado hace 3 días

Se ejecuta en tu computadora
Instalar

README del creador

Abrir el README

Copiado tal cual del repo del creador. PopNx MCP no lo ha revisado ni lo respalda. Se quitaron HTML, imágenes y scripts. Los enlaces llevan fuera de este sitio.

Security Detections MCP

An MCP (Model Context Protocol) server that lets LLMs query a unified database of Sigma, Splunk ESCU, Elastic, KQL, Sublime (Sublime Security and delivr.to), and CrowdStrike CQL security detection rules.

New here? Start with the [Setup Guide](./SETUP.md) -- covers macOS, Windows (WSL & native), and Linux step by step.

Want it hosted? Skip the install entirely: [Hosted MCP Setup Guide](./docs/HOSTED_MCP.md)

Two Ways to Run It

Local (full power) — the npm package you're looking at. Runs on your machine, indexes your own detection repos, exposes all 81 tools. You need Node.js and ~10 minutes.

Hosted (zero setup) — a Streamable HTTP server at detect.michaelhaag.org/api/mcp/mcp. Sign up, generate a token, paste one URL into your MCP client. ~25 read-only tools, always in sync with the latest content, 200 calls/day free. Read on for quick-install buttons.

Install — Local

Claude Code (CLI one-liner):

claude mcp add security-detections -- npx -y security-detections-mcp

Claude Desktop — add to claude_desktop_config.json:

{

"mcpServers": { "security-detections": { "command": "npx", "args": ["-y", "security-detections-mcp"] } } }

OpenAI Codex (CLI):

codex mcp add security-detections -- npx -y security-detections-mcp

After install, configure env vars (SIGMA_PATHS, SPLUNK_PATHS, etc.) to point at your detection repos. See the Setup Guide for full details.

Install — Hosted (no setup, token required)
  1. Create a token at detect.michaelhaag.org/account/tokens. Free tier: 200 calls/day, all read-only tools.
  2. Click the button for your client — replace sdmcp_YOUR_TOKEN_HERE in the resulting config with the token you just generated.

Claude Code (CLI one-liner):

claude mcp add --transport http security-detections https://detect.michaelhaag.org/api/mcp/mcp --header "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE"

Claude Desktop (via mcp-remote — Desktop doesn't speak remote HTTP natively yet):

{

"mcpServers": { "security-detections": { "command": "npx", "args": [ "-y", "mcp-remote", "https://detect.michaelhaag.org/api/mcp/mcp", "--header", "Authorization: Bearer sdmcp_YOUR_TOKEN_HERE" ] } } }

OpenAI Codex (CLI):

export SDMCP_TOKEN="sdmcp_YOUR_TOKEN_HERE" && codex mcp add security-detections --url https://detect.michaelhaag.org/api/mcp/mcp --bearer-token-env-var SDMCP_TOKEN

See the Hosted MCP Setup Guide for the full table of clients, the complete tool inventory, and troubleshooting tips.

AI Model Routing (Web App)

The web chat supports Free, Pro/Admin, and BYOK (Bring Your Own Key) routing. You can also see the active model at the top of the chat UI.

Free Tier (default)
  • Default model: nvidia/nemotron-3-super-120b-a12b:free
  • Automatic fallback order if the first model is busy:
  1. nvidia/nemotron-3-super-120b-a12b:free
  2. nousresearch/hermes-3-llama-3.1-405b:free
  3. meta-llama/llama-3.3-70b-instruct:free
  4. openai/gpt-oss-120b:free
Pro/Admin (no BYOK key set)

Uses app-managed OpenRouter routing with your Preferred Model setting in /account:

Preferred ModelRouted model
autoFree model pool (default: nvidia/nemotron-3-super-120b-a12b:free)
claudeanthropic/claude-sonnet-4-6
claude-opusanthropic/claude-opus-4-6
gptopenai/gpt-5.4
gpt-codexopenai/gpt-5.3-codex
BYOK behavior (takes precedence over tier routing)

If you set your own API key(s), routing priority is:

  1. Claude key (sk-ant-...) -> claude-sonnet-4-6-20250514 via Anthropic
  2. OpenAI key (sk-...) -> gpt-5.4 via OpenAI
  3. OpenRouter key (sk-or-...) -> uses the same Preferred Model mapping table above

If multiple keys are present, the first match in that order is used.

Features

  • 8,200+ detections across 6 formats — Sigma, Splunk ESCU, Elastic, KQL, Sublime, CrowdStrike CQL
  • MITRE ATT&CK STIX — 172 threat actors, 784 software, 4,362 actor-technique relationships
  • Procedure-level coverage — auto-extracted behavioral clusters from every detection rule
  • ATT&CK Navigator layers — export coverage/gap JSON, filterable by source/tactic/severity/actor
  • Autonomous pipeline — CTI ingestion → gap analysis → detection generation → Atomic testing → DRAFT PR (see Autonomous docs)
  • 81 local tools / ~25 hosted tools — unified search, MITRE mapping, coverage analysis, knowledge graph, pattern learning, sprint planning
  • 11 MCP Prompts — ransomware assessment, APT emulation, purple team, executive briefing, and more
  • MCP Resources & Completions — readable context, autocomplete for technique IDs, CVEs, process names

Quick Start

npx -y security-detections-mcp

Or clone and build: git clone https://github.com/MHaggis/Security-Detections-MCP.git && cd Security-Detections-MCP && npm install && npm run build

Configure env vars to point at your detection repos:

VariableDescription
SIGMA_PATHSSigma rule directories
SPLUNK_PATHSSplunk ESCU detection directories
ELASTIC_PATHSElastic detection rule directories
KQL_PATHSKQL hunting query directories
SUBLIME_PATHSSublime MQL rule directories — Sublime Security and delivr.to (comma-separated)
CQL_HUB_PATHSCQL Hub (CrowdStrike) query directories
JAMF_PROTECT_PATHSJamf Protect custom analytic detection directories (macOS)
STORY_PATHSSplunk analytic story directories (optional)
ATTACK_STIX_PATHPath to enterprise-attack.json for threat actor data (optional)

See the Setup Guide for full per-client config examples (Cursor, VS Code, Claude Desktop, WSL).

Getting Detection Content

Download all sources with sparse checkout (rules only, not full repos):

mkdir -p detections && cd detections

git clone --depth 1 --filter=blob:none --sparse https://github.com/SigmaHQ/sigma.git && cd sigma && git sparse-checkout set rules rules-threat-hunting && cd .. git clone --depth 1 --filter=blob:none --sparse https://github.com/splunk/security_content.git && cd security_content && git sparse-checkout set detections stories && cd .. git clone --depth 1 --filter=blob:none --sparse https://github.com/elastic/detection-rules.git && cd detection-rules && git sparse-checkout set rules && cd .. git clone --depth 1 https://github.com/Bert-JanP/Hunting-Queries-Detection-Rules.git kql-bertjanp git clone --depth 1 https://github.com/jkerai1/KQL-Queries.git kql-jkerai1 git clone --depth 1 --filter=blob:none --sparse https://github.com/sublime-security/sublime-rules.git && cd sublime-rules && git sparse-checkout set detection-rules && cd .. git clone --depth 1 --filter=blob:none --sparse https://github.com/delivr-to/detections.git delivr-detections && cd delivr-detections && git sparse-checkout set sublime-rules && cd .. git clone --depth 1 https://github.com/ByteRay-Labs/Query-Hub.git cql-hub

MCP Tools

Core Detection Tools
ToolDescription
search(query, limit)Full-text search across all detection fields
get_by_id(id)Get a single detection by ID
list_all(limit, offset)Paginated list of all detections
list_by_source(source_type)Filter by source (sigma, splunk_escu, elastic, kql, sublime, crowdstrike_cql, jamf_protect)
get_stats()Index statistics
rebuild_index()Force re-index from configured paths
MITRE ATT&CK & Filtering
ToolDescription
list_by_mitre(technique_id)Filter by technique ID (e.g., T1059.001)
list_by_mitre_tactic(tactic)Filter by tactic (execution, persistence, etc.)
list_by_cve(cve_id)Find detections for a CVE
list_by_process_name(process_name)Find detections referencing a process
list_by_severity(level)Filter by severity level
list_by_data_source(data_source)Filter by data source
Coverage & Analysis (Token-Optimized)
ToolDescription
analyze_coverage(source_type?)Coverage stats by tactic, top techniques, weak spots (~2KB)
identify_gaps(threat_profile)Find gaps for ransomware, apt, persistence, etc. (~500B)
suggest_detections(technique_id)Detection ideas for a technique (~2KB)
get_coverage_summary(source_type?)Tactic percentages (~200B)
analyze_actor_coverage(actor)Coverage against a specific threat actor
compare_actor_coverage(actors)Compare coverage across multiple actors
analyze_procedure_coverage(technique_id)Behavioral procedure breakdown
generate_navigator_layer(...)Export ATT&CK Navigator JSON layers
Engineering, Knowledge Graph & More

81 tools total including pattern learning, template generation, knowledge graph, dynamic tables, and autonomous analysis. See the [Tools Reference

Solo se muestra el principio; lee el resto en el repo