sigmahq/sigmaمستودع قواعد Sigma الرئيسي
مرحبًا بك في المستودع الرئيسي لقواعد Sigma. المكان الذي يتعاون فيه مهندسو الكشف وصائدو التهديدات وجميع ممارسي الأمن الدفاعي على قواعد الكشف. يقدم المستودع أكثر من 3000 قاعدة كشف من أنواع مختلفة ويهدف إلى جعل عمليات الكشف الموثوقة متاحة للجميع دون تكلفة.
يقدم المستودع حاليًا ثلاثة أنواع من القواعد:
لبدء استكشاف نظام Sigma البيئي، يرجى زيارة الموقع الرسمي sigmahq.io
Sigma هي تنسيق توقيع عام ومفتوح يسمح لك بوصف أحداث السجل ذات الصلة بطريقة مباشرة. تنسيق القاعدة مرن جدًا وسهل الكتابة وقابل للتطبيق على أي نوع من ملفات السجل.
الغرض الرئيسي من هذا المشروع هو توفير صيغة منظمة يمكن للباحثين أو المحللين من خلالها وصف أساليب الكشف التي طوروها ومشاركتها مع الآخرين.
Sigma بالنسبة لملفات السجل هي ما يمثله Snort لحركة مرور الشبكة وYARA للملفات.
اليوم، يجمع الجميع بيانات السجل للتحليل. يبدأ الناس العمل بمفردهم، ويعالجون العديد من الأوراق البيضاء ومشاركات المدونات وإرشادات تحليل السجل، ويستخرجون المعلومات اللازمة ويبنون عمليات البحث ولوحات المعلومات الخاصة بهم. بعض عمليات البحث والارتباطات لديهم رائعة ومفيدة جدًا لكنها تفتقر إلى تنسيق موحد يمكنهم من خلاله مشاركة عملهم مع الآخرين.
يقدم آخرون تحليلات ممتازة، تتضمن مؤشرات الاختراق (IOCs) وقواعد YARA لكشف الملفات الخبيثة واتصالات الشبكة، لكن ليس لديهم طريقة لوصف أسلوب كشف محدد أو عام في أحداث السجل. يُقصد بـ Sigma أن تكون معيارًا مفتوحًا يمكن من خلاله تعريف آليات الكشف هذه ومشاركتها وجمعها لتحسين قدرات الكشف للجميع.
لبدء كتابة قواعد Sigma، يرجى الاطلاع على دليل البدء التالي مع مواصفات sigma:
يرجى الرجوع إلى دليل CONTRIBUTING للحصول على تعليمات مفصلة حول كيفية البدء في المساهمة بقواعد جديدة.
يمكنك تنزيل أحدث حزم القواعد من صفحة الإصدارات والبدء في الاستفادة من قواعد Sigma اليوم. تُنشر القواعد الجديدة أيضًا بشكل منتظم، لذا تحقق مرة أخرى كثيرًا للحصول على أحدث عمليات الكشف.
يمكنك البدء في تحويل قواعد Sigma اليوم باستخدام:
لدمج قواعد Sigma في سلسلة أدواتك أو منتجاتك الخاصة، استخدم pySigma.
إذا وجدت إيجابية كاذبة أو ترغب في اقتراح فكرة قاعدة كشف جديدة لكن ليس لديك الوقت لإنشائها، يرجى إنشاء مشكلة جديدة على مستودع GitHub عن طريق اختيار أحد القوالب المتاحة.
انضم إلى مجتمع Sigma على Discord لمناقشة هندسة الكشف، وطرح الأسئلة، ومشاركة الأفكار، والتعاون مع الممارسين الآخرين. نستخدم Discord أيضًا للإعلانات مثل الإصدارات الجديدة وتحديثات المشروع الأخرى.
