Security Investigator

🔒 安全调查自动化系统

由Microsoft Sentinel、Defender XDR、Graph API和威胁情报提供的全面、自动化的安全调查，具有25种专门的代理技能

📺 视频演练： 查看此项目的实际情况-- 在 YouTube 上观看 （从安全调查员演示开始）。涵盖了端到端的工作流程：自然语言调查、MCP服务器集成、KQL查询执行、威胁情报丰富和自动报告生成。

一个结合了以下功能的调查自动化框架 GitHub Copilot, VS代码代理技能，以及 模型上下文协议（MCP）服务器 以实现自然语言安全调查。问以下问题 *“调查此用户过去7天的情况”* 或 *“这个IP是恶意的吗？”* 通过KQL查询、威胁情报关联和专业报告进行全面分析。

快速入门（TL；DR）

# 1. Clone and open in VS Code
git clone https://github.com/SCStelz/security-investigator.git
code security-investigator

# 2. Set up Python environment
python -m venv .venv
.venv\Scripts\Activate.ps1          # Windows
# source .venv/bin/activate          # macOS/Linux
pip install --require-hashes -r requirements.lock   # Hash-verified (recommended)
# pip install -r requirements.txt                   # Without hash verification

# 3. Configure environment
copy config.json.template config.json
# Edit config.json → add your Sentinel workspace ID, tenant ID
copy .env.template .env
# Edit .env → add your API tokens (ipinfo, AbuseIPDB, vpnapi, Shodan)

# 4. Configure MCP servers
copy .vscode\mcp.json.template .vscode\mcp.json
# All platform servers are pre-configured — just needs a GitHub PAT on first use

# 5. Open Copilot Chat (Ctrl+Shift+I) in Agent mode and start with:
#    "Run a threat pulse scan"

🚀 建议首次运行： 这 威胁脉冲 技能是最好的起点。它对9个安全域（事件、身份、端点、暴露、电子邮件、UEBA、身份验证喷雾、特权操作、CVE）进行广谱扫描，并产生带有颜色编码的优先结果(🔴 升级/🟠 调查/🟡 监视器/✅ 清除）。每个发现都包括一个指向特定技能的深入建议，因此在扫描后，您将确切地知道要关注的位置以及要运行的后续命令。

其他示例提示：

"Investigate user@domain.com for the last 7 days"    → user-investigation
"Analyze incident 12345"                              → incident-investigation
"Is this IP malicious? 203.0.113.42"                  → ioc-investigation
"What skills do you have access to?"                  → lists all 25 skills

有关详细的工作流程和KQL查询： → （通用模式、技能检测） → （25个专业调查工作流程） → 查询/ （已验证的KQL查询库）

______________________________________________________________________

架构概述

┌────────────────────────────────────────────────────────────────────┐
│                     GitHub Copilot (VS Code)                       │
├────────────────────────────────────────────────────────────────────┤
│                  .github/copilot-instructions.md                   │
│            (Skill detection, universal patterns, routing)          │
├────────────────────────────────────────────────────────────────────┤
│                     .github/skills/*.md                            │
│       (25 specialized workflows with KQL, risk assessment)         │
├────────────────────────────────────────────────────────────────────┤
│                     MCP Servers (Platform)                         │
│  ┌─────────────┐  ┌──────────────┐  ┌───────────────────────────┐  │
│  │ Sentinel    │  │ Graph API    │  │ Sentinel Triage (XDR)     │  │
│  │ Data Lake   │  │ (Identity)   │  │ (Advanced Hunting)        │  │
│  └─────────────┘  └──────────────┘  └───────────────────────────┘  │
│  ┌─────────────┐  ┌──────────────┐  ┌───────────────────────────┐  │
│  │ KQL Search  │  │ Microsoft    │  │ Azure MCP Server          │  │
│  │ (Schema)    │  │ Learn (Docs) │  │ (ARM + Monitor)           │  │
│  └─────────────┘  └──────────────┘  └───────────────────────────┘  │
│  ┌─────────────┐                                                   │
│  │ Sentinel    │                                                   │
│  │ Graph (Rel) │                                                   │
│  └─────────────┘                                                   │
├────────────────────────────────────────────────────────────────────┤
│               MCP Apps (Local Custom Servers)                      │
│  ┌─────────────┐  ┌──────────────┐  ┌───────────────────────────┐  │
│  │ Geomap      │  │ Heatmap      │  │ Incident Comment          │  │
│  │ (Attack Map)│  │ (Patterns)   │  │ (Sentinel Integration)    │  │
│  └─────────────┘  └──────────────┘  └───────────────────────────┘  │
├────────────────────────────────────────────────────────────────────┤
│                      Python Utilities                              │
│ generate_report_from_json.py  │  enrich_ips.py  │  report_generator│
└────────────────────────────────────────────────────────────────────┘

关键部件：

• 25代理技能 --针对事件、用户、设备、IoC、身份验证、范围漂移（SPN/用户/设备）、MCP监控、暴露管理、AI代理姿态、应用程序注册姿态、身份姿态、数据安全分析、电子邮件威胁姿态、MITRE ATT&CK覆盖范围、摄入分析、检测编写、威胁脉冲扫描、SVG仪表板等的模块化调查工作流程
• 7 MCP服务器集成 -Sentinel Data Lake、Graph API、Defender XDR Triage、KQL Search、Microsoft Learn、Azure MCP Server、Sentinel Graph（私人预览）
• 3个本地MCP应用程序 --交互式热图、地理攻击图、事件评论
• Python实用程序 --使用IP丰富功能生成HTML报告（地理位置、VPN检测、滥用分数、Shodan端口/服务/CVE情报）

______________________________________________________________________

🤖 代理技能

该系统使用 VS代码代理技能 提供模块化、特定领域的调查工作流程。技能会根据提示中的关键字自动检测。

可用技能（25）

技能如何发挥作用

1. 你问副驾驶一个问题（例如，“调查user@domain.com过去7天”）
2. Copilot检测关键字并从中加载相应的技能 .github/skills//SKILL.md
3. 该技能提供专门的工作流程、KQL查询和风险评估标准
4. 通用模式来自 .github/copilot-instructions.md 自动继承

自然语言触发技巧

您无需提及技能名称——关键字会自动检测：

跟进和链接

进行调查后，在不重新运行整个工作流程的情况下提出后续问题：

Is that IP a VPN?
Trace authentication for that suspicious location
Was MFA used for those sign-ins?

技能可以链接起来进行综合分析：

1. "Investigate incident 12345" → incident-investigation extracts entities
2. "Now investigate the user from that incident" → user-investigation runs on extracted UPN
3. "Check if that IP is malicious" → ioc-investigation analyzes the suspicious IP
4. "Show me a heatmap of the attack patterns" → heatmap-visualization

Copilot使用来自以下来源的现有调查数据 temp/investigation_*.json 如果可用。

发现技能

What investigation skills do you have access to?
Explain the high-level workflow of the user-investigation skill
What data sources does the ioc-investigation skill use?

📖 参考：

从调查中创作新技能和疑问

临时调查自然会演变为可重复使用的资产。完成调查后，请Copilot将经过验证的查询、模式陷阱和分析逻辑打包到新的SKILL.md或查询文件中。

"Based on the investigation we just completed, create a new reusable skill"
"Read this threat intel article:  — extract TTPs and IOCs, then write, test, and tune a queries file for reusable threat hunts"

______________________________________________________________________

📁 项目结构

security-investigator/
├── enrich_ips.py                # Standalone IP enrichment utility
├── config.json                  # Configuration (workspace IDs, mappings)
├── config.json.template         # Config template (committed to Git)
├── .env                         # API tokens (gitignored, auto-loaded by python-dotenv)
├── .env.template                # Token template (committed to Git)
├── requirements.txt             # Python dependencies
├── requirements.lock            # Hash-verified dependency lockfile
├── .vscode/
│   └── mcp.json.template       # MCP server config template (copy to mcp.json)
├── .github/
│   ├── copilot-instructions.md  # Skill detection, universal patterns, routing
│   ├── manifests/               # Auto-generated discovery indexes
│   │   ├── discovery-manifest.yaml  # Query file + skill index (domains, MITRE, prompts)
│   │   └── build_manifest.py        # Manifest generator script
│   └── skills/                  # 25 Agent Skills (modular investigation workflows)
│       ├── ai-agent-posture/
│       ├── app-registration-posture/
│       ├── authentication-tracing/
│       ├── ca-policy-investigation/
│       ├── computer-investigation/
│       ├── data-security-analysis/
│       ├── detection-authoring/
│       ├── email-threat-posture/
│       ├── exposure-investigation/
│       ├── geomap-visualization/
│       ├── heatmap-visualization/
│       ├── honeypot-investigation/
│       ├── identity-posture/
│       ├── incident-investigation/
│       ├── ioc-investigation/
│       ├── kql-query-authoring/
│       ├── mcp-usage-monitoring/
│       ├── mitre-coverage-report/
│       ├── scope-drift-detection/
│       │   ├── spn/              # Service principal drift (5 dimensions)
│       │   ├── user/             # User account drift (7+6 dimensions)
│       │   └── device/           # Device process drift (5 dimensions)
│       ├── sentinel-ingestion-report/
│       ├── svg-dashboard/
│       ├── threat-pulse/
│       └── user-investigation/
├── queries/                     # Verified KQL query library (grep-searchable, by data domain)
│   ├── cloud/                  # Cloud app & exposure management queries
│   ├── email/                  # Defender for Office 365 email queries
│   ├── endpoint/               # Defender for Endpoint device queries
│   ├── identity/               # Entra ID / Azure AD identity queries
│   ├── incidents/              # SecurityIncident & SecurityAlert queries
│   └── network/                # Network telemetry queries
├── scripts/                     # Python utilities
│   ├── generate_report_from_json.py  # Report generator (main entry point)
│   ├── report_generator.py           # HTML report builder class
│   ├── investigator.py               # Data models and core types
│   ├── cleanup_old_investigations.py  # Automated cleanup (3+ days old)
│   └── generate_tocs.py              # Auto-generate query file TOCs
├── mcp-apps/                    # Local MCP servers (visualization, automation)
│   ├── sentinel-geomap-server/
│   ├── sentinel-heatmap-server/
│   └── sentinel-incident-comment/
├── docs/                        # Setup guides and reference documentation
├── authoring/                   # Blog drafts, writing guides, and marketing content
├── reports/                     # Generated investigation reports (organized by type)
│   ├── ai-agent-posture/       # AI agent security posture reports
│   ├── app-registration-posture/ # App registration posture reports
│   ├── computer-investigations/ # Device security investigation reports
│   ├── data-security/          # Data security SIT analysis reports
│   ├── email-threat-posture/   # Email threat protection posture reports
│   ├── exposure/               # Exposure management reports
│   ├── honeypot/               # Honeypot executive reports
│   ├── identity-posture/       # Identity security posture reports
│   ├── mcp-usage/              # MCP usage monitoring reports
│   ├── scope-drift/            # Scope drift analysis reports
│   ├── sentinel/               # Sentinel ingestion & cost analysis reports
│   ├── threat-pulse/           # Threat Pulse scan reports
│   └── user-investigations/    # HTML user investigation reports
├── temp/                        # Investigation JSON files (auto-cleaned after 3 days)
└── archive/                     # Legacy code and design docs

查询库(queries/)

这 queries/ 文件夹包含 经过验证、实战测试的KQL查询集合 按检测场景组织。这些是 优先级2查找源 在 KQL飞行前检查表 --Copilot在编写任何ad-hoc KQL之前会搜索它们。

每个文件都使用标准化的元数据头，以提高效率 grep_search 发现：

# 
**Tables:** 
**Keywords:** 
**MITRE:** 
**Domains:** 

发现清单(.github/manifests/)

这 发现清单 提供所有查询文件和技能的机器可读索引，支持通过域和MITRE技术进行确定性交叉引用。Threat Pulse技能加载此清单，以将发现与下游查询文件相匹配，并自动深入技能。

• discovery-manifest.yaml --紧凑型索引（~500行） title, path, domains, mitre，以及 prompt 每个查询文件和技能的字段
• build_manifest.py --扫描的生成器脚本 queries/ 元数据头和技能YAML frontmatter来生成清单

它是如何工作的：

1. 查询文件声明 **Domains:** 元数据标头中的标签（有效标签： incidents, identity, spn, endpoint, email, admin, cloud, exposure)
2. 技能声明 threat_pulse_domains: 和 drill_down_prompt: 在他们的YAML frontmatter中
3. python .github/manifests/build_manifest.py 扫描两者并发出清单
4. 威胁脉冲技能读取清单以匹配非-✅ 发现→ 域标记和MITRE技术重叠的相关查询文件和技巧

再生后 创建或重命名查询文件/技能，或更改 Domains:/threat_pulse_domains: 值：

python .github/manifests/build_manifest.py

______________________________________________________________________

🚀 设置

先决条件

1.安装依赖项

验证先决条件：

python --version   # Requires 3.8+
node --version     # Requires 18+ (needed for KQL Search MCP)
az --version       # Azure CLI (needed for Azure MCP Server, ingestion report skill)
pwsh --version     # Requires 7.0+ (needed for sentinel-ingestion-report skill)

如果缺少Node.js： 下载 或奔跑 winget install OpenJS.NodeJS.LTS （Windows）/ brew install node （macOS）。 如果缺少Azure CLI： 安装那么 az login --tenant 和 az account set --subscription . 如果 log-analytics 缺少扩展名： az extension add --name log-analytics （需要 sentinel-ingestion-report 技能）。

设置Python环境：

python -m venv .venv
.\.venv\Scripts\Activate.ps1
pip install -r requirements.txt

2.配置环境

复制 config.json.template 到 config.json 并填写您的工作区详细信息：

{
  "sentinel_workspace_id": "YOUR_WORKSPACE_ID_HERE",
  "tenant_id": "YOUR_TENANT_ID_HERE",
  "subscription_id": "YOUR_SUBSCRIPTION_ID_HERE",
  "azure_mcp": {
    "resource_group": "YOUR_LOG_ANALYTICS_RESOURCE_GROUP",
    "workspace_name": "YOUR_LOG_ANALYTICS_WORKSPACE_NAME",
    "tenant": "YOUR_TENANT_ID_HERE",
    "subscription": "YOUR_SUBSCRIPTION_ID_HERE"
  },
  "output_dir": "reports"
}

API令牌(.env 文件）

用于IP丰富的API令牌存储在 .env 文件（gitignored）而不是 config.json 为了安全。复制模板并添加密钥：

copy .env.template .env
# Edit .env with your token values

IPINFO_TOKEN=your_token_here
ABUSEIPDB_TOKEN=your_token_here
VPNAPI_TOKEN=your_token_here
SHODAN_TOKEN=your_token_here

这些是由自动加载的 enrich_ips.py 通过 python-dotenv --不需要人工采购。

3.配置MCP服务器

复制MCP服务器模板（所有平台服务器+3个可选的MCP应用程序已预先配置）：

copy .vscode/mcp.json.template .vscode/mcp.json

该模板包括每个服务器的内联文档。首次使用时，VS Code将提示：

• Entra ID登录 --Sentinel Data Lake、Graph、Triage和Sentinel Graph服务器的基于浏览器的身份验证
• **** --用于KQL搜索MCP（模式智能和查询发现）。需要 public_repo 范围。

看 MCP服务器设置 下面是每台服务器的权限和安装指南。

4.构建MCP应用程序（可选——可视化技能）

PowerShell（Windows）：

cd mcp-apps/sentinel-geomap-server; npm install; npm run build; cd ../..
cd mcp-apps/sentinel-heatmap-server; npm install; npm run build; cd ../..
cd mcp-apps/sentinel-incident-comment; npm install; npm run build; cd ../..

Bash（macOS/Linux）：

cd mcp-apps/sentinel-geomap-server && npm install && npm run build && cd ../..
cd mcp-apps/sentinel-heatmap-server && npm install && npm run build && cd ../..
cd mcp-apps/sentinel-incident-comment && npm install && npm run build && cd ../..

______________________________________________________________________

🔌 MCP服务器设置

该系统使用多个模型上下文协议（MCP）服务器。都是 预配置 在 .vcode/mcp.模板 --复制到 .vscode/mcp.json 开始（参见 上述步骤3).以下部分记录了每台服务器的权限、工具和安装指南。

概览

1.微软哨兵MCP服务器

📖 安装指南

工具： query_lake, search_tables, list_sentinel_workspaces

权限：

• 日志分析阅读器 （最小）--查询工作区数据
• 哨兵阅读器 （推荐）--全面的调查能力
• 哨兵贡献者 --监视列表管理（可选）

2.微软Graph的MCP服务器

📖 安装指南

工具： microsoft_graph_suggest_queries, microsoft_graph_get, microsoft_graph_list_properties

⚡ 一次性租户配置 （要求 应用程序管理员 或 云应用管理员 角色）：

# 1. Install the Entra Beta PowerShell module (v1.0.13+)
Install-Module Microsoft.Entra.Beta -Force -AllowClobber

# 2. Authenticate to your tenant
Connect-Entra -Scopes 'Application.ReadWrite.All', 'Directory.Read.All', 'DelegatedPermissionGrant.ReadWrite.All'

# 3. Register the MCP Server and grant permissions to VS Code
Grant-EntraBetaMCPServerPermission -ApplicationName VisualStudioCode

这只需要做 每位租户一次配置后，租户中的所有用户都可以通过使用自己的帐户登录来使用Graph MCP服务器。

权限（委派，每个用户）：

• 用户。读。全部 --用户配置文件和身份验证方法
• 用户身份验证方法。读。全部 --MFA方法
• 设备。读。全部 --设备合规性和注册
• 身份风险事件。读。全部 --身份保护风险检测

3.微软哨兵分类MCP服务器

📖 安装指南

工具（30+）： RunAdvancedHuntingQuery, ListIncidents, GetAlertById, GetDefenderMachine, GetDefenderFileInfo, GetDefenderIpAlerts, ListUserRelatedMachines, GetDefenderMachineVulnerabilities以及更多。

权限：

• 用于Endpoint API的Microsoft Defender --SecurityReader角色最小值
• 高级狩猎 --读取Defender XDR数据

4.KQL搜索MCP服务器

📖 安装指南

选项A:VS代码扩展（推荐）

1. 扩展面板→ 搜索“KQL搜索MCP”→ 安装
2. 命令面板→ KQL Search MCP: Set GitHub Token

选项B:NPX --已在中配置 .vscode/mcp.json.template只需要一个 和 public_repo 范围（首次使用时提示）。

工具（34）： 模式智能、查询验证、GitHub搜索、支持331+个表的ASIM。

5.微软学习MCP服务器

📖 安装指南

单击一下： 在VS代码中安装 --或已在中配置 .vscode/mcp.json.template.

工具： microsoft_docs_search, microsoft_docs_fetch, microsoft_code_sample_search

无需API密钥-免费，微软云托管。

6.Azure MCP服务器

📖 安装指南

通过VS代码扩展安装：在扩展中搜索“Azure MCP服务器”，或从 市场。该扩展自动注册为stdio MCP服务器。

工具： monitor_workspace_log_query, monitor_activitylog_list, group_list, subscription_list以及40多个命名空间，涵盖人工智能、身份、安全、数据库、存储、计算和网络。

权限：

• 读者 （最低）--对Azure资源的只读访问
• 日志分析阅读器 --for workspace_log_query （KQL反对日志分析）
• 贡献者 --用于写入/修改操作（可选）

配置： 需要 azure_mcp 参数在 config.json （租户、订阅、资源组、工作区名称）以避免跨租户身份验证错误。看 配置环境.

7.哨兵图MCP服务器⚠️ 内测

注： Sentinel Graph当前处于 内测 并非所有客户都可以使用。如果您的租户没有访问权限，此服务器将无法连接——您可以安全地将其从 .vscode/mcp.json。请参阅 公告博客文章 了解详情和报名。

工具： 实体图探索和关系查询。

权限：

• 哨兵阅读器 （最小值）

在中预先配置 .vscode/mcp.json.template首次使用时基于浏览器的Entra ID登录。

验证设置

打开 副驾驶聊天 (Ctrl+Shift+I)in 代理模式 并尝试以下提示：

如果任何服务器发生故障，请检查 MCP服务器 VS Code中的面板（单击 {} 底部状态栏中的图标），以验证每个服务器是否显示绿色连接状态。

______________________________________________________________________

⚙️ 配置详情

API速率限制（IP富集）

令牌优先级： 如果 ipinfo_token 是付费计划，包括VPN检测 vpnapi_token 是可选的。当付费密钥可用时，Shodan使用完整的API；在403/429上，它自动回退到免费的InternetDB。

IP富集发生在 报告生成 （不是数据收集），因此您可以在不重新查询Sentinel/Graph的情况下重新生成报告。

依赖项

pip install -r requirements.txt

核心包： 请求： （用于丰富API的HTTP客户端）， python日期工具 （KQL时间范围的日期解析）。

______________________________________________________________________

🔒 安全考虑

1. 机密数据 --报告包含PII和敏感的安全数据。标记为机密，并遵循组织数据分类政策。
2. 访问控制 --限制SOC授权人员进入。将Azure RBAC用于Sentinel，将PIM用于Graph API权限。
3. 审计跟踪 --所有调查都有时间戳。JSON文件 temp/ 保存快照；HTML报告包括生成元数据。
4. 数据保留 --超过3天的调查将自动删除（可配置）。在清理之前，将重要调查归档。
5. API代币安全 --永不承诺 config.json 带有令牌（已在 .gitignore).使用环境变量或Azure密钥库进行生产。
6. 调查JSON文件 --存储在 temp/ （未提交到Git）。包含完整的数据，包括IP丰富。无需重新查询即可重新分析。

______________________________________________________________________

🛠️ 故障排除

验证连接性

在 副驾驶聊天 （代理模式）：

• "List my Sentinel workspaces" --验证Sentinel数据湖MCP
• "Look up user@domain.com in Graph" --验证Graph MCP
• "List recent incidents" --验证哨兵分类MCP

在 终端:

python enrich_ips.py 8.8.8.8    # Verifies IP enrichment API tokens

______________________________________________________________________

🧠 （可选）持久租户上下文

GitHub Copilot Chat in VS Code为代理提供了 memory 工具 --内置文件系统(/memories/)用于在对话中持续记录笔记。Copilot已经在内部使用了它；您可以使用租户特定的上下文（已知的基础设施IP、经过验证的人员、假阳性模式、实验室自动化签名）对其进行扩展，这样调查就不会反复将记录的活动错误分类为🔴 关键。

两个内存层是相关的：

内存工具是一种内部代理功能——VS Code不会为其发布专门的文档页面 自定义指令 和 代理技能，它们服务于不同的目的（分别始终应用约定和专门的工作流程）。

此工作区附带了：

• 模板 在 notes/memory/examples/ --复制并适应您的租户（一个用户层示例，两个仓库层示例）
• 同步脚本 scripts/sync-repo-memory.ps1 --备份工作区范围(repo)内存从VS Code AppData转移到工作区文件夹中，在重新安装VS Code和重命名工作区后幸存下来。连接到工作区（OneDrive、Dropbox、iCloud等）的任何云同步都会在机器之间镜像备份。默认为单向导出(ToBackup)；恢复模式(FromBackup)要求 -Force 因为它会写入Copilot的可信内存存储。
• 安装指南 notes/memory/README.md --完整的演练、同步使用、安全模型和触发规则模式，使Copilot实际查询存储库内存

快速入门： 从打开模板 notes/memory/examples/，然后在聊天中询问Copilot *“在以下位置将其创建为内存文件 /memories/...，将占位符替换为我的租户值。"* Copilot使用其 memory 直接编写它的工具——不需要AppData路径导航。

⚠️ 内存=可信输入。 任何东西 notes/memory/repo/ 成为未来每次聊天中Copilot的权威指令（使用MCP工具访问Sentinel、Graph、Azure）。在还原之前，请检查分叉/PR的差异，切勿粘贴机密，如果您的工作区是云同步的，请确认目标是否符合安全上下文。看 notes/memory/README.md 对于完整的威胁模型。

______________________________________________________________________

📄 许可证

该项目根据 MIT许可证.使用它，分叉它，使其适应你的SOC——只需保留版权声明。

______________________________________________________________________

🙏 致谢

微软安全平台

• 微软哨兵 --SIEM/SOAR平台为所有KQL查询和事件管理提供支持
• Microsoft Defender XDR --高级狩猎、设备遥测、漏洞管理
• Microsoft Graph API --Entra ID身份数据、用户/组管理、角色分配
• Microsoft Entra ID保护 --风险检测、风险登录、用户风险状态

MCP服务器

• 哨兵数据湖MCP --对Sentinel工作区执行KQL查询
• 哨兵分类MCP --事件分类、高级狩猎、防御实体API
• Microsoft Graph的MCP服务器 -图形API端点发现和执行
• KQL搜索MCP --模式智能、GitHub KQL查询发现、ASIM验证
• 微软学习 MCP --官方文档搜索和代码示例检索

威胁情报API

• Fo.io --IP地理定位、ISP/ASN识别、主机提供商检测
• Vpnapi。 --VPN、代理、Tor出口节点和中继检测
• 滥用IPDB --社区来源的IP滥用评分和最近的攻击报告
• 肖丹 --开放端口枚举、服务/横幅检测、CVE识别、基础设施标记

开发工具

• **** --AI编码助手为自然语言调查界面提供动力
• VS代码代理技能 --专门调查工作流程的模块化技能框架
• 模型上下文协议（MCP） --将LLM连接到外部数据源和工具的开放协议

特别感谢Microsoft Security社区分享KQL查询和检测逻辑，以及 斯蒂芬 针对Sentinel事件评论MCP模式。