Sigma MCP Server

Сервер MCP, предоставляющий функциональность pySigma для ИИ-ассистентов и других MCP-клиентов.

Возможности

Related MCP server: mcp-audit-server

Требования

• Python ≥ 3.10

• Poetry (для разработки / установки)

Установка

git clone <repo-url>
cd sigma-mcp-server
poetry install

Использование

Запуск сервера

poetry run sigma-mcp-server
# or, after installation:
sigma-mcp-server

По умолчанию сервер прослушивает stdio (стандартный транспорт MCP).

Настройка в VS Code / Claude Desktop

Добавьте следующую запись в конфигурацию вашего MCP-клиента (например, ~/.config/claude/claude_desktop_config.json):

{
  "mcpServers": {
    "sigma": {
      "command": "sigma-mcp-server"
    }
  }
}

Измените путь command на путь к установленному бинарному файлу, если он отсутствует в PATH.

Справочник инструментов

validate_rule

Проверка одного правила Sigma.

Аргументы

Возвращаемые значения

JSON-массив объектов с результатами проверки. Каждый объект содержит:

Также могут присутствовать дополнительные поля, специфичные для подкласса (например, identifier).

Пустой массив означает, что правило прошло проверку всеми активными валидаторами.

configure_validators

Сохранение пользовательской конфигурации валидаторов для текущей сессии MCP. Все последующие вызовы validate_rule в рамках той же сессии будут использовать эту конфигурацию.

Аргументы

Возвращаемые значения

В случае успеха: {"validator_names": ..., "exclusions": [...]} с подтверждением сохраненной конфигурации. В случае ошибки: {"error": "<description>"} при передаче неизвестного идентификатора.

Пример — исключение одного валидатора:

{"exclusions": ["identifier_existence"]}

Пример — использование только двух валидаторов:

{"validator_names": ["identifier_existence", "identifier_uniqueness"]}

Справочник ресурсов

sigma://validators

Возвращает JSON-объект, сопоставляющий строки идентификаторов валидаторов с их понятными человеку описаниями. Идентификаторы валидаторов используются в configure_validators.

Пример ответа (сокращенный):

{
  "identifier_existence": "Checks if rule has identifier.",
  "identifier_uniqueness": "Check rule UUID uniqueness.",
  ...
}

sigma://modifiers

Возвращает отсортированный JSON-массив имен модификаторов значений Sigma, которые можно использовать в условиях обнаружения (например, contains, startswith, re, base64).

Разработка

# Install dev dependencies
poetry install

# Run tests
poetry run pytest

# Run tests with coverage report
poetry run pytest --cov=sigma/mcp --cov-report=term-missing

# Type checking
poetry run mypy sigma/mcp/ tests/

# Code formatting
poetry run black sigma/ tests/ conftest.py

Покрытие тестами должно оставаться ≥ 95 %. Весь код должен проходить проверку mypy --strict и быть отформатирован с помощью black в конфигурации по умолчанию.

Лицензия

MIT