每个 SOC 分析师都知道这种情况：警报触发后，接下来的十分钟就得在分流仪表板、威胁猎杀、案件档案和一开始让你查看的人工智能工具之间切换。
最近，我们推出了适用于 Elastic 的 MCP Apps，它建立在模型上下文协议的开放式 MCP Apps 扩展之上，可让 MCP 工具在返回文本响应的同时返回交互式用户界面，并在 Claude Desktop、Claude.ai 中进行内联渲染、VS Code Copilot、Cursor 或任何兼容主机。本篇文章将深入介绍Elastic Security MCP 应用程序，我们将介绍六种交互式仪表盘，涵盖从警报分流到结案的核心 SOC 循环，而且不会离开对话。
Elastic 已经在平台内部署了人工智能代理：攻击发现和代理生成器可与 Kibana 中的安全数据原生配合使用。但分析师和安全工程师也会花时间在 Claude、VS Code 和 Cursor 中，编写检测逻辑、研究威胁，并越来越多地对发现进行分流。问题不在于使用 Elastic 的内置人工智能还是外部工具。关键在于外部工具能否提供与 Kibana 相同的交互式可视化工作流程。这就是安全 MCP 应用程序要解决的问题。
安保行动本身具有可视性和互动性。分析人员扫描按主机分组的警报，展开进程树，追踪父子链，并将可疑实体拖到调查图上。该循环无法压缩成文本。Elastic Security MCP 应用程序将这些表面纳入人工智能对话，因此答案就是工作流程，而不是工作流程的摘要。
为什么弹性安全 MCP 应用程序对 SOC 至关重要？
当代理告诉 SOC 分析师："，主机-314 上有 47 警报，这里是摘要，" ，它还没有做任何工作。它只是指向工作开始的地方。实际工作存在于警报列表、流程树、调查图表和案件卷宗中。你无法从一段文字中做到这一点。
安全 MCP 应用程序返回工作流程本身。分析师向代理发出提示，代理会在聊天中返回一个交互式仪表板，分析师可以在其中深入研究警报、运行威胁搜索、关联攻击链并打开案件，而不会丢失对话的主线。您在 MCP 应用程序中的所有操作都会通过产品使用的相同 API 写回Elasticsearch和 Kibana。从案例、警报和发现到狩猎查询，您都不会丢失这些上下文，因为它们不仅仅存在于聊天中，而是全部存储在您的弹性集群和 Kibana 环境中，等着您准备好时重新拾取。
六个交互式仪表板
我们选择了与 SOC 核心环路相对应的六个要素：检测、分流、追捕、关联、响应和测试。每一个都是 React UI，当代理调用相应工具时会内嵌渲染：
| 工具 | What it does | 交互式 UI |
|---|---|---|
| 告警分类 | 获取、筛选和分类安全警报 | 严重程度分组、人工智能判决卡、流程树和网络事件 |
| Attack Discovery | 基于 AI 关联的攻击链分析，支持按需生成 | 带有置信度评分、实体风险和 MITRE 映射的攻击说明卡 |
| 案例管理 | 创建、搜索和管理调查案例 | 带有警报、可观察性、注释选项卡和人工智能操作的案例列表 |
| 检测规则 | 浏览、调优和管理检测规则 | 具有 KQL 搜索、查询验证和噪声规则分析功能的规则浏览器 |
| 威胁搜寻 | ES|QL workbench with entity investigation | Query editor, clickable entities, and investigation graph |
| 样例数据 | 针对常见攻击场景生成 ECS 安全事件。 | 带有四条预设攻击链的场景选择器 |
每种工具都会返回一份简洁的文本摘要，供模型推理使用，同时还提供分析师可使用的交互式用户界面。用户界面还可以通过 MCP 主机桥接器在幕后获取新数据。完整的工具模型和桥接应用程序接口在软件仓库的架构文档中。
该应用程序还随附Claude Desktop 技能，SKILL.md ，教代理何时以及如何使用每种工具。您可以从最新版本中下载预置技能压缩包。
从告警到案例
这五种技能涵盖了 SOC 核心环路。每个模型都能接收提示，调用工具，并返回一个交互式仪表盘和文本摘要。下面的演示将从头开始；如果你正在跟读，第一步将填充群集，以便循环的其余部分有数据可用。
生成样本数据。从一个新的群组开始？样本数据技能可针对四种常见攻击场景生成真实的ECS安全事件：勒索软件、横向移动、凭证盗窃和数据外渗。要求代理生成样本数据，选择一个场景，几秒钟内就能得到一个填充好的警报队列。本攻略中的所有内容都将使用这些事件。
分流警报。要求代理按主机、规则、用户或时间窗口进行分流。警报分级技能会在原始警报列表上方返回一个人工智能判定的仪表板，每个检测规则有一个判定，将该规则的活动分为良性、可疑或恶意，每个判定都有一个置信度分数和建议采取的行动。单击任何警报可打开详细视图，其中包含流程树、网络事件、相关警报和 MITRE ATT&CK 标记。无需在人工智能工具和 Kibana 内的警报仪表板之间切换标签页，一切都在对话中实时进行。
寻找威胁。请代理在您的指数中进行搜索。Threat Hunt 技能会返回一个ES|QL工作台，其中预填充并自动执行了查询，结果中的每个实体都可点击进行下钻。模型会在表格下方写下简短的读数：哪些地方不寻常、哪些地方有联系、哪些地方值得仔细查看。然后，它提供了下一个支点：更深入地猎取威胁，或者交给另一种技能。下一步自然是 "攻击发现"；它可以收集更多有关您已分流的警报和您已追捕的威胁的背景信息，并将它们关联到攻击链中。
运行攻击发现。攻击发现技能会触发攻击发现 API，并返回一份排序的发现列表。每项发现都是一组相关的警报，拼接成一个攻击链，其中包括 MITRE 战术、风险评分、置信度标签以及受影响的主机和用户。代理的摘要以相同的等级顺序排列在调查结果的下方，现在对话中包含了采取行动所需的一切：狩猎查询、分流决策、相关链，所有这些都是为下一步而准备的。
无需离开聊天即可打开案件。批量批准调查结果，或要求代理针对特定警报打开案件。案例管理技能可为每个已批准的调查结果创建一个案例（附加源警报，以及从攻击链中继承的 MITRE 战术），并在线显示实时案例列表。单击案例可查看其详细信息，其中包括一排人工智能操作按钮：总结案例、建议下一步措施、提取 IOC 和生成时间表。每次聊天都会有一个结构化的提示，让代理无需重新介绍就能了解案例背景。代理摘要位于案件列表下方，涵盖整个投资者关系队列，包括刚开始处理的案件和仍需处理的早期调查结果。
该演练中的每一步都是相同的循环：输入提示，技能接收，然后工具返回一个简洁的文本摘要供模型推理，同时提供一个交互式用户界面供分析师操作。将这些技能串联起来，就能形成端到端的 SOC 流程；猎取、分流、关联、打开案例并推动下一个枢纽，所有这些都由模型在每个步骤中提供会话上下文。单独调用任何一个，它仍然是完整的仪表盘，指向你指定的任何数据片段。无论哪种方式，工作都会在对话中积累；没有标签切换，没有复制粘贴，没有交接。
此外，该应用还具备一项新技能：检测规则浏览器，用于调整噪声规则、按规则类型进行过滤以及标记高噪声检测。后续文章将深入介绍所有六个仪表板：调查图、攻击流画布和端到端演练。
以下是该演示的完整演示。
Elastic 的信息安全团队如何使用安全 MCP 应用程序
当对话不仅能访问弹性安全系统时，MCP 应用程序的价值就会增加。在实际的 SOC 工作流程中，一个警报往往会引发跨越多个系统的问题：Kibana 中的案例、Slack 中的线程、Jira 中的问题以及云基础设施日志。传统上，分析师需要手动操作这些工具，一次一个标签地组合上下文。
通过安全 MCP 应用程序与 Slack、Jira 和云平台的 MCP 服务器连接，代理可以在一次对话中了解全局：审查案例及其所附警报，交叉参考 Slack 频道以了解相关的中断或计划变更，检查 Jira 以了解已知问题，并编制一份取证摘要，内容包括根本原因、已采取的行动和未完成的任务，所有这一切都要在分析师撰写一份说明之前完成。一旦分析得到审核和批准，代理就会写回分析结果：Kibana 案例的结构化注释、发布到相关 Slack 频道的摘要以及附带上下文的关闭警报。
基于云的警报也有同样的好处。云环境中的奇怪活动往往是 Slack 或 Jira 中已经讨论过的已知故障或基础设施变更。代理可以在几秒钟内检查这些来源，将上下文关联起来，并通过解释关闭警报或将警报升级，同时附上完整的图片。
用于弹性安全的 MCP 应用程序弥补了自动检测和人工捕猎之间的差距。通过将我们的安全数据直接引入 Claude Desktop 的单一界面，我们在一小时内就发现了 "无声 "威胁--这些风险不会触发标准警报，但需要立即采取行动。这对我们的分析人员来说是一种力量倍增器。- Mandy Andress，Elastic 首席信息安全官 (CISO)
运作方式
每个 MCP 应用程序都是一个小型 Node.js 服务器，其工具既能返回模型的简洁文本摘要，也能返回主机内嵌渲染的 React UI。服务器分为两层：LLM 调用的面向模型的工具（返回用于推理的轻量级摘要），以及用户界面在幕后调用的用于交互的纯应用程序工具，如扩展进程树或运行 ES|QL 查询。每个视图都是在沙盒 iframe 中呈现的独立 React 应用程序。由于它基于开放的 MCP 应用程序规范构建，因此相同的服务器可在任何兼容主机上运行；有关完整设计，请参阅软件仓库的架构文档
代理式 SOC、互动式
这种模式有两个特性值得直接说明。首先，工具结果不再是工作的终点，而是工作的起点：对话返回的是你可以采取行动的界面，而不是你必须采取行动的摘要。其次，这只是因为 Elasticsearch 和 Kibana 已经公开了安全 API。MCP 应用程序是 Elastic Security 已提供的检测、调查和案件管理功能之上的一个薄薄的交互层。
攻击发现 "已经为本应用程序内的相关发现视图提供了支持。在堆栈内部，同样的代理模式也在进一步发展：弹性工作流自动执行确定性步骤（丰富实体、创建案例和隔离主机），而代理生成器则对数据进行推理，并调用这些工作流作为工具。MCP 应用程序将同样的安全面引入外部对话；工作流和代理生成器则将其深化到堆栈内部。入口点不同，下面的弹性安全 API 相同。
这种建筑选择是经过深思熟虑的。MCP 服务器在分析师自己的机器上运行，并使用他们的 API 密钥直接连接到 Elasticsearch。LLM 只接收用于推理的紧凑摘要，而用户界面则通过同一服务器独立加载完整的调查数据。它为已经在 Claude、VS Code 或 Cursor 中工作的分析师增加了一个界面，而无需引入他们必须采用的依赖性或必须重建的管理模式。您通过 Elasticsearch API 密钥实施的基于角色的访问控制同样适用于应用程序的每项操作，这意味着操作结果非常简单：分析师只需花费更少的时间切换工具，而有更多的时间结案。
试用弹性安全 MCP 应用程序
Elastic Security MCP 应用程序需要启用安全功能的 Elasticsearch 9.x，以及用于案例、规则和攻击发现的 Kibana。最快的路径是最新版本中的一键式.mcpb 捆绑包；在 Claude Desktop 中双击它，系统会提示你输入 Elasticsearch URL 和 API 密钥。Cursor 、 VS Code 、 Claude Code 、 Claude.ai 和从源代码构建的设置指南都在 软件仓库 中。
还没有 Elasticsearch 集群？开始免费试用弹性云。有关该应用背后的构建模块的更多信息，请参阅安全实验室的相关文章：弹性工作流和代理生成器、代理技能和攻击发现。
本博文所描述的任何特性或功能的发布及上市时间均由 Elastic 自行决定。当前尚未发布的任何特性或功能可能无法按时提供或根本无法提供。