community-automations/siem-alert-enrichment

DevOps & Kode

PublicClaude-subagent

SIEM-varselberikelse

Sikkerhetsteam drukner i SIEM-varsler, der de fleste er støy som likevel tar minutter hver å undersøke for hånd. Denne automasjonen gjør førsterundens research før et menneske i det hele tatt ser på det.

sonnet1 ukeSplunkVirusTotalAbuseIPDBMISP
ClaudeClaude
ROI for
README.md

Hvorfor denne subagenten

Sikkerhetsteam drukner i SIEM-varsler, der de fleste er støy som likevel tar minutter hver å undersøke for hånd. Denne automasjonen gjør førsterundens research før et menneske i det hele tatt ser på det.

Den beriker hver indikator med threat intel, ressurseierskap og relaterte hendelser, og scorer så varselet. Analytikere blir bare vekket av dem som betyr noe, med dokumentasjonen allerede vedlagt, så triagen starter fra kontekst i stedet for en blank skjerm.

Slik kjører den

    • Read

      Used at step 01 to kick off the pipeline.

    • Write

      Used at step 01 to kick off the pipeline.

    • WebFetch

      Used at step 01 to kick off the pipeline.

    • WebSearch

      Used at step 01 to kick off the pipeline.

Eksempel på output

json
// Sample output
// (generated when the pipeline finishes)

Take a raw SIEM alert, enrich every indicator with threat-intel and asset context, then return a triage verdict (escalate or suppress) with a confidence score and the evidence behind it.

Unlock the rest

The full agent definition, install snippet, and starter task are gated for community members.

Members get the full `.md` agent file, the npm / pnpm install one-liners, a starter prompt that we've tuned against real runs, and the open-source repo when this automation ships there. One email, magic link, done.