用途：借助 elastic-security MCP 连接器管理 Elastic Security 检测规则，适用于误报调优、添加例外、创建新检测覆盖、发现高噪声规则等场景。核心工具为 manage-rules（渲染交互式规则管理仪表盘，参数 filter 使用 KQL，支持搜索规则、查看详情、启用/停用、校验查询、查看噪声规则）和 threat-hunt（在创建规则前用实时数据测试查询）。
支持的规则类型包括：query（KQL，简单字段匹配，如 process.name: "mimikatz.exe"）、eql（行为序列，如进程 A 在 5 分钟内派生 B）、esql（分析/聚合，复杂连接或转换）、threshold（计数/频率，如 5 分钟内超过 10 次登录失败）、threat_match（IOC 关联，匹配恶意 IP 指标）、new_terms（首次活动，如用户首次登录主机）。
调优策略按优先级依次为：添加例外（已知良好进程/用户/主机，不改动规则查询）；收紧查询（从规则查询中排除误报模式）；调整阈值/抑制（提高阈值或启用告警抑制）；降低风险评分/严重性（规则仍有价值但噪声大时降级）；停用规则（最后手段，仅在规则无价值时使用）。
创建新规则流程：定义威胁（MITRE 技术、数据源、恶意与合法行为）；用 threat-hunt 针对实时数据测试查询；通过仪表盘创建或让 Claude 协助构建规则 JSON；监控告警量并调优误报。
常见索引模式：告警 .alerts-security.alerts-；进程 logs-endpoint.events.process-；网络 logs-endpoint.events.network-；Windows logs-windows.；AWS logs-aws.；Okta logs-okta.。
限制：使用前提是已配置 elastic-security MCP 连接器；其余收费、价格、平台等信息暂未提供。