community-automations/siem-alert-enrichment

DevOps e codice

PublicSubagent Claude

Arricchimento alert SIEM

I team di sicurezza affogano negli alert SIEM, per lo più rumore che richiede comunque minuti ciascuno per essere indagato a mano. Questa automazione fa la ricerca di primo livello prima ancora che una persona ci metta gli occhi.

sonnet1 settimanaSplunkVirusTotalAbuseIPDBMISP
ClaudeClaude
ROI for
README.md

Perché questo subagent

I team di sicurezza affogano negli alert SIEM, per lo più rumore che richiede comunque minuti ciascuno per essere indagato a mano. Questa automazione fa la ricerca di primo livello prima ancora che una persona ci metta gli occhi.

Arricchisce ogni indicatore con threat intelligence, proprietà degli asset ed eventi correlati, poi assegna un punteggio all'alert. Gli analisti vengono avvisati solo per quelli che contano, con le prove già allegate, così il triage parte dal contesto invece che da uno schermo bianco.

Come gira

    • Read

      Used at step 01 to kick off the pipeline.

    • Write

      Used at step 01 to kick off the pipeline.

    • WebFetch

      Used at step 01 to kick off the pipeline.

    • WebSearch

      Used at step 01 to kick off the pipeline.

Esempio di output

json
// Sample output
// (generated when the pipeline finishes)

Take a raw SIEM alert, enrich every indicator with threat-intel and asset context, then return a triage verdict (escalate or suppress) with a confidence score and the evidence behind it.

Unlock the rest

The full agent definition, install snippet, and starter task are gated for community members.

Members get the full `.md` agent file, the npm / pnpm install one-liners, a starter prompt that we've tuned against real runs, and the open-source repo when this automation ships there. One email, magic link, done.