Sigma MCP-Server

Ein MCP-Server, der pySigma-Funktionalität für KI-Assistenten und andere MCP-Clients bereitstellt.

Funktionen

Related MCP server: mcp-audit-server

Anforderungen

• Python ≥ 3.10

• Poetry (für Entwicklung / Installation)

Installation

git clone <repo-url>
cd sigma-mcp-server
poetry install

Verwendung

Starten des Servers

poetry run sigma-mcp-server
# or, after installation:
sigma-mcp-server

Der Server lauscht standardmäßig auf stdio (Standard-MCP-Transport).

Konfiguration in VS Code / Claude Desktop

Fügen Sie den folgenden Eintrag zu Ihrer MCP-Client-Konfiguration hinzu (z. B. ~/.config/claude/claude_desktop_config.json):

{
  "mcpServers": {
    "sigma": {
      "command": "sigma-mcp-server"
    }
  }
}

Passen Sie den command-Pfad an das installierte Binary an, falls es sich nicht im PATH befindet.

Tool-Referenz

validate_rule

Validiert eine einzelne Sigma-Regel.

Argumente

Rückgabewerte

Ein JSON-Array von Validierungsproblem-Objekten. Jedes Objekt enthält:

Zusätzliche unterklassenspezifische Felder (z. B. identifier) können ebenfalls vorhanden sein.

Ein leeres Array bedeutet, dass die Regel alle aktiven Validatoren bestanden hat.

configure_validators

Speichert eine benutzerdefinierte Validator-Konfiguration für die aktuelle MCP-Sitzung. Alle nachfolgenden validate_rule-Aufrufe innerhalb derselben Sitzung verwenden diese Konfiguration.

Argumente

Rückgabewerte

Bei Erfolg: {"validator_names": ..., "exclusions": [...]} zur Bestätigung der gespeicherten Konfiguration. Bei Fehler: {"error": "<description>"} wenn eine unbekannte ID angegeben wurde.

Beispiel – einen einzelnen Validator ausschließen:

{"exclusions": ["identifier_existence"]}

Beispiel – nur zwei Validatoren verwenden:

{"validator_names": ["identifier_existence", "identifier_uniqueness"]}

Ressourcen-Referenz

sigma://validators

Gibt ein JSON-Objekt zurück, das Validator-ID-Strings ihren menschenlesbaren Beschreibungen zuordnet. Validator-IDs werden mit configure_validators verwendet.

Beispielantwort (gekürzt):

{
  "identifier_existence": "Checks if rule has identifier.",
  "identifier_uniqueness": "Check rule UUID uniqueness.",
  ...
}

sigma://modifiers

Gibt ein sortiertes JSON-Array von Sigma-Wert-Modifikatornamen zurück, die in Erkennungsbedingungen verwendet werden können (z. B. contains, startswith, re, base64).

Entwicklung

# Install dev dependencies
poetry install

# Run tests
poetry run pytest

# Run tests with coverage report
poetry run pytest --cov=sigma/mcp --cov-report=term-missing

# Type checking
poetry run mypy sigma/mcp/ tests/

# Code formatting
poetry run black sigma/ tests/ conftest.py

Die Testabdeckung muss ≥ 95 % bleiben. Der gesamte Code muss mypy --strict bestehen und mit black in der Standardkonfiguration formatiert sein.

Lizenz

MIT