Sigma - Generisches Signaturformat für SIEM-Systeme

GitHub Repo stars GitHub all releases

Willkommen im Hauptregel-Repository von Sigma. Der Ort, an dem Detection Engineers, Threat Hunter und alle Sicherheitspraktiker im Bereich der Abwehr gemeinsam an Erkennungsregeln arbeiten. Das Repository bietet mehr als 3000 Erkennungsregeln verschiedener Typen und zielt darauf ab, zuverlässige Erkennungen allen kostenlos zugänglich zu machen.

Derzeit bietet das Repository drei Arten von Regeln:

Allgemeine Erkennungsregeln – Sind bedrohungsneutral, ihr Ziel ist es, ein Verhalten oder eine Implementierung einer Technik oder eines Verfahrens zu erkennen, das von einem potenziellen Bedrohungsakteur verwendet wurde, werden könnte oder verwendet wird.
Threat-Hunting-Regeln – Sind breiter angelegt und sollen dem Analysten einen Ausgangspunkt bieten, um nach potenziell verdächtigen oder bösartigen Aktivitäten zu suchen.
Regeln für neu auftretende Bedrohungen – Sind Regeln, die spezifische Bedrohungen abdecken, die zeitaktuell und für bestimmte Zeiträume relevant sind. Zu diesen Bedrohungen gehören spezifische APT-Kampagnen, Ausnutzung von Zero-Day-Schwachstellen, spezifische Malware, die während eines Angriffs verwendet wird,… usw.
Compliance-Regeln – Sind Regeln, die Ihnen helfen, Compliance-Verstöße basierend auf bekannten Sicherheitsframeworks wie CIS Controls, NIST, ISO 27001,… usw. zu identifizieren.
Platzhalterregeln – Sind Regeln, die ihre endgültige Bedeutung erst zum Zeitpunkt der Konvertierung oder Nutzung der Regel erhalten.

Sigma erkunden

Um mit der Erkundung des Sigma-Ökosystems zu beginnen, besuchen Sie bitte die offizielle Website sigmahq.io

Was ist Sigma

Sigma ist ein generisches und offenes Signaturformat, mit dem Sie relevante Log-Ereignisse auf unkomplizierte Weise beschreiben können. Das Regelformat ist sehr flexibel, einfach zu schreiben und auf jede Art von Logdatei anwendbar.

Der Hauptzweck dieses Projekts ist es, eine strukturierte Form bereitzustellen, in der Forscher oder Analysten ihre einmal entwickelten Erkennungsmethoden beschreiben und mit anderen teilbar machen können.

Sigma ist für Logdateien das, was Snort für Netzwerkverkehr und YARA für Dateien ist.

Sigma-Beschreibung – Ein Diagramm, das YAML-Dateien (Sigma-Regeln) zeigt, die durch einen Sigma-Konverter wandern, und als viele SIEM-Logos herauskommen, was zeigt, wie Sigma-Regeln in viele verschiedene verfügbare SIEM-Abfragesprachen konvertiert werden können

Warum Sigma

Heutzutage sammelt jeder Logdaten zur Analyse. Menschen beginnen eigenständig zu arbeiten, verarbeiten zahlreiche Whitepapers, Blogbeiträge und Loganalyse-Richtlinien, extrahieren die notwendigen Informationen und erstellen eigene Suchen und Dashboards. Einige ihrer Suchen und Korrelationen sind großartig und sehr nützlich, aber es fehlt ihnen an einem standardisierten Format, um ihre Arbeit mit anderen zu teilen.

Andere liefern hervorragende Analysen, enthalten IOCs und YARA-Regeln, um die bösartigen Dateien und Netzwerkverbindungen zu erkennen, haben aber keine Möglichkeit, eine spezifische oder generische Erkennungsmethode in Logereignissen zu beschreiben. Sigma soll ein offener Standard sein, in dem solche Erkennungsmechanismen definiert, geteilt und gesammelt werden können, um die Erkennungsfähigkeiten für alle zu verbessern.

🌟 Hauptfunktionen

Eine kontinuierlich wachsende Liste von Erkennungs- und Hunting-Regeln, die von einer Gemeinschaft professioneller Detection Engineers geprüft werden.
Herstellerneutrale Erkennungsregeln.
Einfach in Communities und Berichten teilbar.

🏗️ Regelerstellung

Um mit dem Schreiben von Sigma-Regeln zu beginnen, lesen Sie bitte die folgenden Erste-Schritte-Anleitungen zusammen mit der Sigma-Spezifikation:

🔎 Mitwirken und Pull Requests erstellen

Bitte lesen Sie die MITWIRKEN-Anleitung für detaillierte Anweisungen, wie Sie mit dem Beitragen neuer Regeln beginnen können.

📦 Regelpakete

Sie können die neuesten Regelpakete von der Release-Seite herunterladen und noch heute mit der Nutzung von Sigma-Regeln beginnen. Neue Regeln werden regelmäßig veröffentlicht, also schauen Sie regelmäßig vorbei, um die neuesten Erkennungen zu erhalten.

🧬 Regelverwendung und -konvertierung

Sie können noch heute mit der Konvertierung von Sigma-Regeln beginnen mit:
- Sigma CLI – der offizielle Kommandozeilen-Konverter
- sigconverter.io – webbasierter GUI-Konverter
- Detection Studio – webbasierter GUI-Konverter
Um Sigma-Regeln in Ihre eigene Toolchain oder Produkte zu integrieren, verwenden Sie pySigma.

🚨 False Positives melden oder neue Regelideen einbringen

Wenn Sie einen False Positive finden oder eine neue Idee für eine Erkennungsregel vorschlagen möchten, aber keine Zeit haben, eine zu erstellen, erstellen Sie bitte ein neues Issue im GitHub-Repository und wählen Sie eine der verfügbaren Vorlagen aus.

💬 Community

Treten Sie der Sigma-Community auf Discord bei, um sich über Detection Engineering auszutauschen, Fragen zu stellen, Ideen zu teilen und mit anderen Praktikern zusammenzuarbeiten. Wir nutzen Discord auch für Ankündigungen wie neue Releases und andere Projektupdates.

🌐 Offizielle Ressourcen

sigmahq.io – Offizielle Sigma-Website
SigmaHQ Blog – Offizieller Blog mit Beiträgen zu Detection Engineering, Regelveröffentlichungen und Sigma-Updates
Phoenix – Sigma Rule Intelligence Platform – Suchen, Analysieren und Verstehen von Sigma-Regeln, die auf MITRE ATT&CK abgebildet sind

📚 Ressourcen & Weiterführende Literatur

Projekte oder Produkte, die Sigma-Regeln verwenden oder integrieren

AlphaSOC – Nutzt Sigma-Regeln, um die Abdeckung über alle unterstützten Logquellen zu erhöhen
alterix – Konvertiert Sigma-Regeln in die Abfragesprache des CRYPTTECH SIEM
AttackIQ – Sigma-Regeln in die AttackIQ-Plattform integriert, und SigmAIQ für Sigma-Regelkonvertierung und LLM-Apps
Atomic Threat Coverage – Ordnet Sigma-Regeln automatisch MITRE ATT&CK-Techniken, Atomic Red Team-Tests und Incident-Response-Playbooks zu (seit Dezember 2018)
ATR (Agent Threat Rules) – Offenes MIT-lizenziertes Erkennungsregelformat für KI-Agenten-Sicherheitsbedrohungen (Prompt Injection, Tool Poisoning, Context Exfiltration). Die Referenz-CLI exportiert ATR-Regeln in das Sigma-Format via atr convert sigma.
AttackRuleMap – Bildet Atomic Red Team-Angriffssimulationen auf Open-Source-Sigma-Erkennungsregeln zur Bewertung der Abdeckung ab
Confluent Sigma – Von Kafka Streams unterstützte Sigma-Regeln
Detection Studio – Konvertiert Sigma-Regeln in jedes unterstützte SIEM
Exeon.UEBA – User and Entity Behavior Analytics (UEBA)-Lösung von Exeon mit integrierter Sigma-Erkennungsengine
IBM QRadar – Nimmt Sigma-Regeln nativ für die Echtzeiterkennung über die YARA and Sigma Rules Manager-App auf
Joe Sandbox – Automatisierte Malware-Analyseplattform, die Sigma-Regeln während der Sandbox-Ausführung anwendet, um Bedrohungen in Verhaltenslogs zu erkennen
LimaCharlie – SecOps-Cloud-Plattform mit nativer Sigma-Regelunterstützung und automatischer Konvertierung in das Detection & Response-Regelformat

📜 Betreuer

Danksagungen

Dieses Projekt hätte ohne die Hilfe der hundert Mitwirkenden nie diese Höhe erreicht. Dank an alle vergangenen und gegenwärtigen Mitwirkenden für ihre Hilfe.

Lizenzen

Der Inhalt dieses Repositorys wird unter der Detection Rule License (DRL) 1.1 veröffentlicht.

sigma

Beliebteste