Sigma – Generisches Signaturformat für SIEM-Systeme

Willkommen im Sigma-Hauptregelrepository. Der Ort, an dem Detection Engineers, Threat Hunter und alle defensiven Sicherheitsexperten gemeinsam an Erkennungsregeln arbeiten. Das Repository bietet mehr als 3000 Erkennungsregeln unterschiedlicher Art und hat zum Ziel, zuverlässige Erkennungen für alle kostenlos zugänglich zu machen.

Derzeit bietet das Repository fünf Arten von Regeln:

• Generische Erkennungsregeln – Sind bedrohungsagnostisch; ihr Ziel ist es, ein Verhalten oder eine Implementierung einer Technik oder Prozedur zu erkennen, die von einem potenziellen Bedrohungsakteur verwendet wurde, verwendet werden kann oder verwendet werden wird.
• Threat-Hunting-Regeln – Sind breiter gefasst und sollen dem Analysten einen Ausgangspunkt bieten, um nach potenziell verdächtigen oder bösartigen Aktivitäten zu suchen
• Emerging-Threat-Regeln – Sind Regeln, die bestimmte Bedrohungen abdecken, die zeitnah und für bestimmte Zeiträume relevant sind. Diese Bedrohungen umfassen spezifische APT-Kampagnen, die Ausnutzung von Zero-Day-Schwachstellen, spezifische während eines Angriffs verwendete Malware usw.
• Compliance-Regeln – Sind Regeln, die Ihnen helfen, Compliance-Verstöße anhand bekannter Sicherheitsframeworks wie CIS Controls, NIST, ISO 27001 usw. zu identifizieren.
• Platzhalter-Regeln – Sind Regeln, die ihre endgültige Bedeutung erst zum Zeitpunkt der Konvertierung oder Verwendung der Regel erhalten.

Sigma erkunden

Um das Sigma-Ökosystem zu erkunden, besuchen Sie bitte die offizielle Website sigmahq.io

Was ist Sigma

Sigma ist ein generisches und offenes Signaturformat, mit dem sich relevante Log-Ereignisse auf unkomplizierte Weise beschreiben lassen. Das Regelformat ist sehr flexibel, einfach zu schreiben und auf jede Art von Logdatei anwendbar.

Der Hauptzweck dieses Projekts besteht darin, eine strukturierte Form bereitzustellen, in der Forscher oder Analysten ihre einmal entwickelten Erkennungsmethoden beschreiben und mit anderen teilen können.

Sigma ist für Logdateien das, was Snort für Netzwerkverkehr und YARA für Dateien ist.

Warum Sigma

Heutzutage sammelt jeder Logdaten zur Analyse. Menschen beginnen, eigenständig zu arbeiten, verarbeiten zahlreiche Whitepapers, Blogbeiträge und Richtlinien zur Loganalyse, extrahieren die notwendigen Informationen und erstellen ihre eigenen Suchen und Dashboards. Einige ihrer Suchen und Korrelationen sind großartig und sehr nützlich, aber es fehlt ihnen ein standardisiertes Format, in dem sie ihre Arbeit mit anderen teilen können.

Andere bieten hervorragende Analysen, einschließlich IOCs und YARA-Regeln zur Erkennung der schädlichen Dateien und Netzwerkverbindungen, haben aber keine Möglichkeit, eine spezifische oder generische Erkennungsmethode in Log-Ereignissen zu beschreiben. Sigma soll ein offener Standard sein, in dem solche Erkennungsmechanismen definiert, geteilt und gesammelt werden können, um die Erkennungsfähigkeiten für alle zu verbessern.

🌟 Hauptmerkmale

• Eine kontinuierlich wachsende Liste von Erkennungs- und Hunting-Regeln, die von einer Community professioneller Detection Engineers begutachtet werden.
• Herstellerunabhängige Erkennungsregeln.
• Einfach über Communities und Berichte hinweg teilbar

🏗️ Regelerstellung

Um mit dem Schreiben von Sigma-Regeln zu beginnen, lesen Sie bitte den folgenden Einstiegsleitfaden zusammen mit der Sigma-Spezifikation:

• Einstiegsleitfaden
• Sigma-Spezifikation

🔎 Mitwirken & PRs erstellen

Bitte lesen Sie den CONTRIBUTING-Leitfaden für detaillierte Anweisungen, wie Sie mit dem Beitragen neuer Regeln beginnen können.

📦 Regelpakete

Sie können die neuesten Regelpakete von der Release-Seite herunterladen und noch heute Sigma-Regeln nutzen. Neue Regeln werden auch regelmäßig veröffentlicht, schauen Sie also oft vorbei, um die neuesten Erkennungen zu erhalten.

🧬 Regelverwendung und -konvertierung

• Sie können noch heute mit der Konvertierung von Sigma-Regeln beginnen, indem Sie Folgendes verwenden:

  • Sigma CLI – der offizielle Kommandozeilen-Konverter
  • sigconverter.io – webbasierter GUI-Konverter
  • Detection Studio – webbasierter GUI-Konverter

• Um Sigma-Regeln in Ihre eigene Toolchain oder Ihre Produkte zu integrieren, verwenden Sie pySigma.

🚨 Falschmeldungen oder neue Regelideen melden

Wenn Sie eine Falschmeldung finden oder eine neue Erkennungsregelidee vorschlagen möchten, aber keine Zeit haben, eine zu erstellen, erstellen Sie bitte ein neues Issue im GitHub-Repository, indem Sie eine der verfügbaren Vorlagen auswählen.

💬 Community

Treten Sie der Sigma-Community auf Discord bei, um über Detection Engineering zu diskutieren, Fragen zu stellen, Ideen auszutauschen und mit anderen Praktikern zusammenzuarbeiten. Wir nutzen Discord auch für Ankündigungen wie neue Releases und andere Projekt-Updates.

🌐 Offizielle Ressourcen

• sigmahq.io – Offizielle Sigma-Website
• SigmaHQ Blog – Offizieller Blog zu Detection Engineering, Regelveröffentlichungen und Sigma-Updates
• Phoenix - Sigma Rule Intelligence Platform – Sigma-Regeln durchsuchen, analysieren und verstehen, zugeordnet zu MITRE ATT&CK

📚 Ressourcen & weiterführende Literatur