Sigma检测工具
Sigma检测工具 是 AI Skill Hub 本期精选MCP工具之一。综合评分 8.0 分，整体质量较高。我们强烈推荐将其纳入你的 AI 工具库，帮助提升工作效率。
📚 深度解析
通过安装 Sigma检测工具，你的 AI 助手将获得额外的工具调用能力，可以用自然语言直接操控该工具的功能，无需学习复杂的命令行语法。MCP 工具的核心价值在于"一次配置，永久增强"——配置完成后，每次与 AI 对话时都可以无缝调用这些工具。
在技术实现上，MCP 工具通过标准的 JSON-RPC 协议与 AI 客户端通信，工具的功能以"工具列表"的形式暴露给 AI 模型，AI 可以按需调用。Sigma检测工具 提供了结构化的工具调用接口，使 AI 模型能够精确地理解和使用每个功能点，显著降低 AI 在工具使用上的错误率。
与传统的 API 集成相比，MCP 工具的优势在于无需编写代码——用户只需在配置文件中添加几行 JSON，即可让 AI 获得全新能力。AI Skill Hub 将 Sigma检测工具 评为 AI 评分 8.0 分，属于同类工具中的优质选择。
📋 工具概览
Sigma检测工具 是一款遵循 MCP（Model Context Protocol）标准协议的 AI 工具扩展。通过 MCP 协议，它可以让 Claude、Cursor 等主流 AI 客户端直接访问和操作外部工具、数据源和服务，实现 AI 能力的无缝扩展。无论是文件操作、数据库查询还是 API 调用，都可以通过自然语言在 AI 对话中直接触发，极大提升生产效率。
📖 中文文档
Sigma检测工具 是一款遵循 MCP（Model Context Protocol）标准协议的 AI 工具扩展。通过 MCP 协议，它可以让 Claude、Cursor 等主流 AI 客户端直接访问和操作外部工具、数据源和服务，实现 AI 能力的无缝扩展。无论是文件操作、数据库查询还是 API 调用，都可以通过自然语言在 AI 对话中直接触发，极大提升生产效率。
- 通过标准 MCP 协议与 Claude、Cursor 等主流 AI 客户端深度集成
- 提供结构化工具调用接口，显著降低 AI 集成复杂度
- 支持 Claude Desktop 和 Claude Code 无缝接入，开箱即用
- 可与其他 MCP 工具组合叠加，构建完整 AI 工作站
- 轻量无侵入设计，不影响现有系统架构
- 在 Claude Desktop 对话中直接调用本地工具，实现 AI 与系统的深度联动
- 通过自然语言驱动复杂的多步骤自动化任务，代替繁琐手动操作
- 将多个 MCP 工具组合使用，构建个人专属 AI 工作站
# 方式一：通过 Claude Code CLI 一键安装
claude skill install https://github.com/timescale/rsigma
# 方式二：手动配置 claude_desktop_config.json
{
"mcpServers": {
"sigma----": {
"command": "npx",
"args": ["-y", "rsigma"]
}
}
}
# 配置文件位置
# macOS: ~/Library/Application Support/Claude/claude_desktop_config.json
# Windows: %APPDATA%/Claude/claude_desktop_config.json
- 确认已安装 Node.js（v18 或以上版本）
- 打开 Claude Desktop 或 Claude Code 的 MCP 配置文件
- 按「交给 Agent 安装 → Claude Desktop」标签中的 JSON 配置填入 mcpServers 字段
- 保存配置文件并重启 Claude 客户端
- 重启后，在对话中即可使用本工具
# 安装后在 Claude 对话中直接使用 # 示例： 用户: 请帮我用 Sigma检测工具 执行以下任务... Claude: [自动调用 Sigma检测工具 MCP 工具处理请求] # 查看可用工具列表 # 在 Claude 中输入："列出所有可用的 MCP 工具"
// claude_desktop_config.json 配置示例
{
"mcpServers": {
"sigma____": {
"command": "npx",
"args": ["-y", "rsigma"],
"env": {
// "API_KEY": "your-api-key-here"
}
}
}
}
// 保存后重启 Claude Desktop 生效
简介
<p align="center"> <a href="https://github.com/timescale/rsigma"> <picture> <source media="(prefers-color-scheme: dark)" srcset="https://github.com/timescale/rsigma/blob/main/assets/rsigma-logotype-dark.png" /> <img src="https://github.com/timescale/rsigma/blob/main/assets/rsigma-logotype.png" alt="RSigma logotype" width="200"/> </picture> </a> <p align="center">A complete Sigma detection engineering toolkit</p> </p>
<p align="center"> <a href="https://github.com/timescale/rsigma/actions/workflows/ci.yml"><img src="https://github.com/timescale/rsigma/actions/workflows/ci.yml/badge.svg" alt="CI" /></a> <a href="https://rsigma.io"><img src="https://img.shields.io/badge/docs-website-blue" alt="Documentation" /></a> <a href="https://crates.io/crates/rsigma"><img src="https://img.shields.io/crates/v/rsigma.svg" alt="crates.io" /></a> <a href="https://github.com/timescale/rsigma/blob/main/Cargo.toml"><img src="https://img.shields.io/badge/MSRV-1.95.0-blue" alt="MSRV" /></a> <a href="https://ghcr.io/timescale/rsigma"><img src="https://img.shields.io/badge/ghcr.io-rsigma-blue?logo=docker" alt="Docker" /></a> <a href="https://github.com/timescale/rsigma/releases/latest"><img src="https://img.shields.io/github/v/release/timescale/rsigma" alt="GitHub Release" /></a> <a href="https://opensource.org/licenses/MIT"><img src="https://img.shields.io/badge/License-MIT-green.svg" alt="License: MIT" /></a> <a href="https://github.com/rust-unofficial/awesome-rust#security-tools"><img src="https://awesome.re/mentioned-badge.svg" alt="Mentioned in Awesome Rust" /></a> <a href="https://glama.ai/mcp/servers/timescale/rsigma"><img src="https://glama.ai/mcp/servers/timescale/rsigma/badges/score.svg" alt="rsigma MCP server score on Glama.ai" /></a> </p>
RSigma is a complete detection engineering toolkit for the Sigma detection standard, including a parser, evaluation engine, rule conversion, streaming runtime, linter, CLI, MCP, and LSP.
RSigma parses Sigma YAML rules into a strongly-typed AST, compiles them into optimized matchers, and evaluates them against log events in real time. It handles stateful correlation logic in-process with memory-efficient compressed event storage. Or as Zack Allen put it in DEW #149, "RSigma is essentially a SIEM."
You can send events in many formats, including JSON, syslog (RFC 3164/5424), logfmt, CEF, EVTX (Windows Event Log), plain text, and OTLP (OpenTelemetry Protocol), with auto-detection by default. pySigma-compatible processing pipelines handle field mapping and backend configuration. OTLP support lets any OpenTelemetry-compatible agent (Grafana Alloy, Vector, Fluent Bit, OTel Collector) forward logs to RSigma via HTTP or gRPC for detection.
For rule quality and editor integration, a built-in linter validates rules against 85 checks derived from the Sigma v2.1.0 specification, and an LSP server provides real-time diagnostics, completions, hover documentation, and quick-fix code actions in any editor.
RSigma builds on open industry standards throughout: Sigma for detection rules, OpenTelemetry for log ingestion and detection export, and STIX and TAXII for threat intelligence.
Full documentation, including guides, CLI reference, and library API docs, lives at rsigma.io.
Supported Features
Deploy
- CI integration: Gates a rule repository in one pull-request check with the
timescale/rsigma-actionGitHub Action, wrapping lint, validate, fields-drift diff, backtest, and coverage - Configuration: Layers settings from YAML config files, environment variables, and CLI flags, managed with the
rsigma configcommand group - Signed artifacts: Ships multi-arch Docker images with cosign signatures, SBOM, and SLSA Build L3 provenance, plus prebuilt binaries for Linux, macOS, and Windows
Installation
Prebuilt binaries for Linux, macOS, and Windows (amd64 and arm64), with SLSA Build L3 provenance, are attached to every GitHub release.
Or install from crates.io:
```bash
Install the CLI
cargo install --locked rsigma
Install the LSP server
cargo install --locked rsigma-lsp
To build from source:
Docker
Multi-arch images (linux/amd64, linux/arm64) are published to GHCR on every release, signed with cosign and carrying an SPDX SBOM and SLSA Build L3 provenance. See the Docker deployment guide.
docker pull ghcr.io/timescale/rsigma:latest
docker run --rm ghcr.io/timescale/rsigma:latest --helpRun with full runtime hardening:
docker run --rm \
--read-only \
--cap-drop=ALL \
--security-opt=no-new-privileges:true \
-v /path/to/rules:/rules:ro \
ghcr.io/timescale/rsigma:latest rule validate /rules/Verify the image signature:
cosign verify \
--certificate-identity-regexp 'github.com/timescale/rsigma' \
--certificate-oidc-issuer https://token.actions.githubusercontent.com \
ghcr.io/timescale/rsigma:latestAny non-native target delegates to sigma-cli when it is installed (pipx install sigma-cli)
rsigma backend convert rules/ -t splunk
Quick Start
```bash
Library Usage
Use the crates directly from Rust:
use rsigma_parser::parse_sigma_yaml;
use rsigma_eval::Engine;
use rsigma_eval::event::JsonEvent;
use serde_json::json;
let yaml = r#"
title: Detect Whoami
logsource:
product: windows
category: process_creation
detection:
selection:
CommandLine|contains: 'whoami'
condition: selection
level: medium
"#;
let collection = parse_sigma_yaml(yaml).unwrap();
let mut engine = Engine::new();
engine.add_collection(&collection).unwrap();
let event = JsonEvent::borrow(&json!({"CommandLine": "cmd /c whoami"}));
let matches = engine.evaluate(&event);
assert_eq!(matches[0].rule_title, "Detect Whoami");Reference
- pySigma: reference Python implementation
- Sigma Specification V2.1.0: formal specification
- sigma-rust: Pratt parsing approach
- sigmars: correlation support patterns
- sigma_engine: official SigmaHQ Rust library for parsing and matching Sigma rules against events
- pySigma-backend-sqlite: SQLite backend for pySigma (inspiration for the PostgreSQL backend)
- pySigma-backend-athena: AWS Athena backend for pySigma (SELECT fields, CTE-based correlation, sliding window patterns)
rsigma 是一个基于 Rust 开发的完整工具包，专门用于处理 Sigma 检测标准。它能够将 Sigma 规则转化为高性能的检测逻辑，为安全运营提供强大的规则解析与实时评估能力。
rsigma 支持将 Sigma YAML 规则解析为强类型的 AST（抽象语法树），涵盖检测、关联及过滤规则。其核心引擎支持对 JSON 事件进行实时规则评估，具备无状态检测与有状态关联（如滑动窗口、group-by、链式调用及抑制机制）功能。此外，还实验性地支持对嵌套事件数据中的数组成员进行匹配。
运行 rsigma 需要根据功能特性启用相应的依赖。若需使用 engine daemon 模式，需安装并运行 NATS JetStream；若需通过 OTLP 协议接入，需启用 daemon-otlp 特性。此外，针对 logfmt 等特定格式，需启用对应的 feature 模块。
可以通过 Rust 的包管理工具 cargo 进行安装。首先使用 `cargo build --release --all-features --workspace` 构建所有 crate，随后通过 `cargo install --locked rsigma` 命令将 CLI 工具安装到本地系统中。
rsigma 提供了灵活的使用方式。开发者可以直接在 Rust 项目中通过调用 `rsigma_parser` 和 `rsigma_eval` 库来解析 Sigma YAML 并驱动 Engine 进行事件评估；也可以通过命令行工具直接对日志文件或消息队列进行规则匹配。
rsigma 的配置采用分层 YAML 机制，支持通过 CLI flags、env 环境变量、项目文件（如 `./rsigma.yaml` 或 `.rsigmarc`）、用户文件及系统文件进行管理。配置优先级遵循：CLI flag > env > 项目文件 > 用户文件 > 系统文件 > 默认值。可以使用 `rsigma config` 命令进行初始化��管理。
rsigma 提供 HTTP API 接口，支持通过 POST 请求发送 NDJSON 格式的事件至 `/api/v1/events`。通过 `--api-addr` 参数，你可以为所有协议配置 HTTPS 安全传输。此外，还提供了 `rsigma rule fields` 命令用于列出规则集中引用的所有字段。
rsigma 具备强大的输入解析与 Pipeline 流水线能力。系统默认支持 JSON、syslog 及纯文本的自动检测，并可通过 feature-gated 方式支持 `logfmt`、`cef`、`evtx` 等格式。通过 Processing Pipelines，用户可以实现源 Schema 与 Sigma 字段名之间的映射。rsigma 还创新性地支持 Dynamic Pipelines，允许通过 `${source.*}` 模板引用外部数据源，实现动态的字段映射与转换逻辑。
高质量的Sigma检测工具，功能齐全
- 需要让 Claude / Cursor 操作本地工具的 AI 工程师
- 配置 MCP 服务器时建议使用 stdio 传输 + JSON-RPC，避免暴露公网
- API key 直接提交到 git 仓库（请用 .env 并加入 .gitignore）
- MCP 配置路径拼错或权限不足，重启 Claude Desktop 才生效
- 云端托管：可放在 Vercel / Railway / Fly.io 等 PaaS 平台
⚡ 核心功能
- 通过标准 MCP 协议与 Claude、Cursor 等主流 AI 客户端深度集成
- 提供结构化工具调用接口，显著降低 AI 集成复杂度
- 支持 Claude Desktop 和 Claude Code 无缝接入，开箱即用
- 可与其他 MCP 工具组合叠加，构建完整 AI 工作站
- 轻量无侵入设计，不影响现有系统架构
- 需要让 Claude / Cursor 操作本地工具的 AI 工程师
- 配置 MCP 服务器时建议使用 stdio 传输 + JSON-RPC，避免暴露公网
- API key 直接提交到 git 仓库（请用 .env 并加入 .gitignore）
- MCP 配置路径拼错或权限不足，重启 Claude Desktop 才生效
👥 适合人群
🎯 使用场景
- 在 Claude Desktop 对话中直接调用本地工具，实现 AI 与系统的深度联动
- 通过自然语言驱动复杂的多步骤自动化任务，代替繁琐手动操作
- 将多个 MCP 工具组合使用，构建个人专属 AI 工作站
⚖️ 优点与不足
- +MIT 协议，可免费商用
- +标准化 MCP 协议，生态互联性强
- +与 Claude 官方生态无缝对接
- +即插即用，配置简单快捷
- −依赖 Claude 客户端，非 Claude 用户无法使用
- −MCP 协议仍在持续演进，接口可能变更
- −需要一定的配置步骤
AI Skill Hub 为第三方内容聚合平台，本页面信息基于公开数据整理，不对工具功能和质量作任何法律背书。
建议在沙箱或测试环境中充分验证后，再部署至生产环境，并做好必要的安全评估。
✅ MIT 协议 — 最宽松的开源协议之一，可自由商用、修改、分发，仅需保留版权声明。
❓ 常见问题 FAQ
经综合评估，Sigma检测工具 在MCP工具赛道中表现稳健，质量优秀。如果你已有明确的使用需求，可以直接上手体验；如果还在评估阶段，建议对比同类工具后再做决策。
| 原始名称 | rsigma |
| 原始描述 | 开源MCP工具：A complete Sigma detection toolkit: parser, linter, evaluator, correlation engin。⭐77 · Rust |
| Topics | mcpbackendconvertercorrelationdetection |
| GitHub | https://github.com/timescale/rsigma |
| License | MIT |
| 语言 | Rust |
收录时间：2026-06-21 · 更新时间：2026-06-22 · License：MIT · AI Skill Hub 不对第三方内容的准确性作法律背书。