Sigma - تنسيق التوقيع العام لأنظمة SIEM

مرحبًا بك في المستودع الرئيسي لقواعد Sigma. المكان الذي يتعاون فيه مهندسو الكشف وصائدو التهديدات وجميع ممارسي الأمن الدفاعي على قواعد الكشف. يقدم المستودع أكثر من 3000 قاعدة كشف من أنواع مختلفة ويهدف إلى جعل عمليات الكشف الموثوقة متاحة للجميع دون تكلفة.

يقدم المستودع حاليًا ثلاثة أنواع من القواعد:

• قواعد الكشف العامة - مستقلة عن التهديدات، وهدفها كشف سلوك أو تنفيذ تقنية أو إجراء قد استُخدم أو يمكن أو سيُستخدم من قبل جهة تهديد محتملة.
• قواعد صيد التهديدات - أوسع نطاقًا وتهدف إلى منح المحلل نقطة انطلاق للبحث عن نشاط مشبوه أو ضار محتمل
• قواعد التهديدات الناشئة - هي قواعد تغطي تهديدات محددة، وهي آنية وذات صلة لفترات زمنية معينة. تشمل هذه التهديدات حملات APT محددة، واستغلال ثغرات Zero-Day، وبرمجيات خبيثة محددة استُخدمت أثناء الهجوم،...إلخ.
• قواعد الامتثال - هي قواعد تساعدك على تحديد انتهاكات الامتثال بناءً على أطر أمنية معروفة مثل CIS Controls وNIST وISO 27001،...إلخ.
• قواعد العناصر النائبة - هي قواعد تكتسب معناها النهائي عند تحويل القاعدة أو استخدامها.

استكشاف Sigma

لبدء استكشاف نظام Sigma البيئي، يرجى زيارة الموقع الرسمي sigmahq.io

ما هي Sigma

Sigma هي تنسيق توقيع عام ومفتوح يسمح لك بوصف أحداث السجل ذات الصلة بطريقة مباشرة. تنسيق القاعدة مرن جدًا وسهل الكتابة وقابل للتطبيق على أي نوع من ملفات السجل.

الغرض الرئيسي من هذا المشروع هو توفير صيغة منظمة يمكن للباحثين أو المحللين من خلالها وصف أساليب الكشف التي طوروها ومشاركتها مع الآخرين.

Sigma بالنسبة لملفات السجل هي ما يمثله Snort لحركة مرور الشبكة وYARA للملفات.

لماذا Sigma

اليوم، يجمع الجميع بيانات السجل للتحليل. يبدأ الناس العمل بمفردهم، ويعالجون العديد من الأوراق البيضاء ومشاركات المدونات وإرشادات تحليل السجل، ويستخرجون المعلومات اللازمة ويبنون عمليات البحث ولوحات المعلومات الخاصة بهم. بعض عمليات البحث والارتباطات لديهم رائعة ومفيدة جدًا لكنها تفتقر إلى تنسيق موحد يمكنهم من خلاله مشاركة عملهم مع الآخرين.

يقدم آخرون تحليلات ممتازة، تتضمن مؤشرات الاختراق (IOCs) وقواعد YARA لكشف الملفات الخبيثة واتصالات الشبكة، لكن ليس لديهم طريقة لوصف أسلوب كشف محدد أو عام في أحداث السجل. يُقصد بـ Sigma أن تكون معيارًا مفتوحًا يمكن من خلاله تعريف آليات الكشف هذه ومشاركتها وجمعها لتحسين قدرات الكشف للجميع.

🌟 الميزات الرئيسية

• قائمة متنامية باستمرار من قواعد الكشف والصيد، تتم مراجعتها من قبل مجتمع من مهندسي الكشف المحترفين.
• قواعد كشف مستقلة عن البائع.
• سهلة المشاركة عبر المجتمعات والتقارير

🏗️ إنشاء القواعد

لبدء كتابة قواعد Sigma، يرجى الاطلاع على دليل البدء التالي مع مواصفات sigma:

• دليل البدء
• مواصفات Sigma

🔎 المساهمة وتقديم طلبات السحب (PRs)

يرجى الرجوع إلى دليل CONTRIBUTING للحصول على تعليمات مفصلة حول كيفية البدء في المساهمة بقواعد جديدة.

📦 حزم القواعد

يمكنك تنزيل أحدث حزم القواعد من صفحة الإصدارات والبدء في الاستفادة من قواعد Sigma اليوم. تُنشر القواعد الجديدة أيضًا بشكل منتظم، لذا تحقق مرة أخرى كثيرًا للحصول على أحدث عمليات الكشف.

🧬 استخدام القواعد وتحويلها

• يمكنك البدء في تحويل قواعد Sigma اليوم باستخدام:

  • Sigma CLI - المحول الرسمي لسطر الأوامر
  • sigconverter.io - محول بواجهة رسومية على الويب
  • Detection Studio - محول بواجهة رسومية على الويب

• لدمج قواعد Sigma في سلسلة أدواتك أو منتجاتك الخاصة، استخدم pySigma.

🚨 الإبلاغ عن الإيجابيات الكاذبة أو أفكار قواعد جديدة

إذا وجدت إيجابية كاذبة أو ترغب في اقتراح فكرة قاعدة كشف جديدة لكن ليس لديك الوقت لإنشائها، يرجى إنشاء مشكلة جديدة على مستودع GitHub عن طريق اختيار أحد القوالب المتاحة.

💬 المجتمع

انضم إلى مجتمع Sigma على Discord لمناقشة هندسة الكشف، وطرح الأسئلة، ومشاركة الأفكار، والتعاون مع الممارسين الآخرين. نستخدم Discord أيضًا للإعلانات مثل الإصدارات الجديدة وتحديثات المشروع الأخرى.

🌐 الموارد الرسمية

• sigmahq.io - موقع Sigma الرسمي
• مدونة SigmaHQ - المدونة الرسمية التي تغطي هندسة الكشف وإصدارات القواعد وتحديثات Sigma
• Phoenix - منصة استخبارات قواعد Sigma - ابحث عن قواعد Sigma المرتبطة بـ MITRE ATT&CK وحللها وافهمها

📚 الموارد والقراءة الإضافية

• Hack.lu 2017 Sigma - Generic Signatures for Log Events by Thomas Patzke
• Sigma - Generic Signatures for SIEM Systems by Florian Roth
• 50 Shades of Sigma by Florian Roth
• Introducing Sigma Specification v2.0 by Nasreddine Bencherchali
• SIGMA-Resources - قائمة منسقة بالموارد لتعلم وفهم قواعد Sigma
• The Ultimate Guide to Sigma Rules by Graylog
• Introduction to Sigma Rules by Intezer