sigmahq/sigmaمستودع قواعد Sigma الرئيسي
مرحبًا بك في المستودع الرئيسي لقواعد Sigma. المكان الذي يتعاون فيه مهندسو الكشف وصائدو التهديدات وجميع ممارسي الأمن الدفاعي على قواعد الكشف. يقدّم المستودع أكثر من 3000 قاعدة كشف من أنواع مختلفة ويهدف إلى جعل عمليات الكشف الموثوقة متاحة للجميع دون تكلفة.
يقدّم المستودع حاليًا ثلاثة أنواع من القواعد:
لبدء استكشاف منظومة Sigma، يُرجى زيارة الموقع الرسمي sigmahq.io
Sigma هي صيغة توقيع عامة ومفتوحة تتيح لك وصف أحداث السجلات ذات الصلة بطريقة مباشرة. صيغة القاعدة مرنة للغاية وسهلة الكتابة وقابلة للتطبيق على أي نوع من ملفات السجلات.
الغرض الرئيسي من هذا المشروع هو توفير نموذج منظم يستطيع فيه الباحثون أو المحللون وصف أساليب الكشف التي طوّروها ومشاركتها مع الآخرين.
Sigma بالنسبة لملفات السجلات هي ما يمثله Snort لحركة مرور الشبكة وYARA للملفات.
اليوم، يجمع الجميع بيانات السجلات للتحليل. يبدأ الأشخاص العمل بأنفسهم، فيعالجون العديد من الأوراق البيضاء ومشاركات المدونات وإرشادات تحليل السجلات، ويستخرجون المعلومات اللازمة ويبنون عمليات البحث ولوحات المعلومات الخاصة بهم. بعض عمليات البحث والارتباطات التي يقومون بها رائعة ومفيدة جدًا، لكنها تفتقر إلى صيغة موحّدة يمكنهم من خلالها مشاركة عملهم مع الآخرين.
يقدّم آخرون تحليلات ممتازة، تتضمن مؤشرات اختراق (IOCs) وقواعد YARA لاكتشاف الملفات الخبيثة والاتصالات الشبكية، لكنهم لا يملكون وسيلة لوصف طريقة اكتشاف محددة أو عامة في أحداث السجلات. صُمم Sigma ليكون معيارًا مفتوحًا يمكن من خلاله تعريف آليات الاكتشاف هذه ومشاركتها وجمعها بهدف تحسين قدرات الاكتشاف للجميع.
للبدء في كتابة قواعد Sigma، يُرجى الاطلاع على دليل البدء التالي إلى جانب مواصفات Sigma:
يُرجى الرجوع إلى دليل CONTRIBUTING للحصول على تعليمات مفصلة حول كيفية البدء في المساهمة بقواعد جديدة.
يمكنك تنزيل أحدث حزم القواعد من صفحة الإصدارات والبدء في الاستفادة من قواعد Sigma اليوم. تُنشر قواعد جديدة أيضًا على أساس منتظم، لذا تحقق مرة أخرى بشكل متكرر للحصول على أحدث عمليات الاكتشاف.
يمكنك البدء في تحويل قواعد Sigma اليوم باستخدام:
لدمج قواعد Sigma في سلسلة أدواتك أو منتجاتك الخاصة، استخدم pySigma.
إذا وجدت إيجابية كاذبة أو ترغب في اقتراح فكرة قاعدة اكتشاف جديدة لكن ليس لديك الوقت لإنشائها، يُرجى إنشاء مشكلة (issue) جديدة على مستودع GitHub عبر اختيار أحد القوالب المتاحة.
انضم إلى مجتمع Sigma على Discord لمناقشة هندسة الاكتشاف، وطرح الأسئلة، ومشاركة الأفكار، والتعاون مع ممارسين آخرين. نستخدم Discord أيضًا للإعلانات مثل الإصدارات الجديدة وتحديثات المشروع الأخرى.
