sigmahq/sigmaHaupt-Sigma-Regel-Repository
# Sigma - Generisches Signaturformat für SIEM-Systeme <a href="https://sigmahq.io/"> <p align="center"> <br /> <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/sigma_logo_dark.png"> <img width="454" alt="Sigma Logo" src="https://assets.kitploit.com/production/public/readmes/4061/a2268079facd1d8e001de537016b6e45246b1c4454c18721b89ae1e6020b9fc0.png"> </picture> </p> </a> <br /> <p align="center"> <a href="https://github.com/SigmaHQ/sigma/actions?query=branch%3Amaster"><img src="https://github.com/SigmaHQ/sigma/actions/workflows/sigma-test.yml/badge.svg?branch=master" alt="Sigma Build Status"></a> <a href="https://sigmahq.io/"><img src="https://cdn.jsdelivr.net/gh/SigmaHQ/sigmahq.github.io@master/images/Sigma%20Official%20Badge.svg" alt="Sigma Official Badge"></a> <img alt="GitHub Repo stars" src="https://img.shields.io/github/stars/SigmaHQ/sigma"> <img alt="GitHub all releases" src="https://img.shields.io/github/downloads/SigmaHq/Sigma/total"> <br /> <a href="https://opensourcesecurityindex.io/" target="_blank" rel="noopener"> <img style="width: 170px;" src="https://opensourcesecurityindex.io/badge.svg" alt="Open Source Security Index - Fastest Growing Open Source Security Projects" width="170" /> </a> </p> Willkommen im Sigma-Hauptregel-Repository. Der Ort, an dem Detection Engineers, Threat Hunter und alle defensiven Sicherheitsexperten an Erkennungsregeln zusammenarbeiten. Das Repository bietet mehr als 3000 Erkennungsregeln verschiedener Typen und zielt darauf ab, zuverlässige Erkennungen für alle kostenlos zugänglich zu machen. Derzeit bietet das Repository drei Arten von Regeln: * [Generische Erkennungsregeln](https://github.com/sigmahq/sigma/blob/master/rules) - Sind bedrohungsagnostisch, ihr Ziel ist es, ein Verhalten oder eine Implementierung einer Technik oder Prozedur zu erkennen, die von einem potenziellen Bedrohungsakteur verwendet wurde, verwendet werden kann oder verwendet werden wird. * [Threat-Hunting-Regeln](https://github.com/sigmahq/sigma/blob/master/rules-threat-hunting) - Sind breiter gefasst und sollen dem Analysten einen Ausgangspunkt bieten, um nach potenziell verdächtigen oder bösartigen Aktivitäten zu suchen * [Regeln für aufkommende Bedrohungen](https://github.com/sigmahq/sigma/blob/master/rules-emerging-threats) - Sind Regeln, die spezifische Bedrohungen abdecken, die zeitnah und für bestimmte Zeiträume relevant sind. Diese Bedrohungen umfassen spezifische APT-Kampagnen, die Ausnutzung von Zero-Day-Schwachstellen, spezifische Malware, die während eines Angriffs verwendet wird, ...usw. * [Compliance-Regeln](https://github.com/sigmahq/sigma/blob/master/rules-compliance) - Sind Regeln, die Ihnen helfen, Compliance-Verstöße basierend auf bekannten Sicherheitsframeworks wie CIS Controls, NIST, ISO 27001, ...usw. zu identifizieren. * [Platzhalter-Regeln](https://github.com/sigmahq/sigma/blob/master/rules-placeholder) - Sind Regeln, die ihre endgültige Bedeutung zum Zeitpunkt der Konvertierung oder Verwendung der Regel erhalten. ## Sigma erkunden Um mit der Erkundung des Sigma-Ökosystems zu beginnen, besuchen Sie bitte die offizielle Website [sigmahq.io](https://sigmahq.io) ### Was ist Sigma Sigma ist ein generisches und offenes Signaturformat, das es ermöglicht, relevante Log-Ereignisse auf unkomplizierte Weise zu beschreiben. Das Regelformat ist sehr flexibel, einfach zu schreiben und auf jede Art von Log-Datei anwendbar. Der Hauptzweck dieses Projekts ist es, eine strukturierte Form bereitzustellen, in der Forscher oder Analysten ihre einmal entwickelten Erkennungsmethoden beschreiben und mit anderen teilen können. Sigma ist für Log-Dateien das, was [Snort](https://www.snort.org/) für Netzwerkverkehr und [YARA](https://github.com/VirusTotal/yara) für Dateien ist. <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/Sigma_description_dark.png"> <img alt="Sigma Description - A diagram showing Yaml Files (Sigma Rules) moving through a Sigma Convertor, and coming out as many SIEM logos, showing how Sigma rules can be converted to many different available SIEM query languages" src="https://assets.kitploit.com/production/public/readmes/4061/df17fffca3b075c9a775bfd0e957f1151caf5089296d2321650051300994acb9.png"> </picture> ### Warum Sigma Heutzutage sammelt jeder Log-Daten zur Analyse. Menschen beginnen, auf eigene Faust zu arbeiten, verarbeiten zahlreiche Whitepapers, Blogbeiträge und Log-Analyse-Richtlinien, extrahieren die notwendigen Informationen und erstellen ihre eigenen Suchen und Dashboards. Einige ihrer Suchen und Korrelationen sind großartig und sehr nützlich, aber es fehlt ihnen ein standardisiertes Format, in dem sie ihre Arbeit mit anderen teilen können. Andere bieten hervorragende Analysen, enthalten IOCs und YARA-Regeln zur Erkennung der bösartigen Dateien und Netzwerkverbindungen, haben aber keine Möglichkeit, eine spezifische oder generische Erkennungsmethode in Log-Ereignissen zu beschreiben. Sigma soll ein offener Standard sein, in dem solche Erkennungsmechanismen definiert, geteilt und gesammelt werden können, um die Erkennungsfähigkeiten für alle zu verbessern. ### 🌟 Hauptmerkmale * Eine kontinuierlich wachsende Liste von Erkennungs- und Hunting-Regeln, die von einer Community professioneller Detection Engineers begutachtet werden. * Herstellerunabhängige Erkennungsregeln. * Einfach über Communities und Berichte hinweg teilbar ## 🏗️ Regelerstellung Um mit dem Schreiben von Sigma-Regeln zu beginnen, lesen Sie bitte den folgenden Einstiegsleitfaden zusammen mit der Sigma-Spezifikation: * [Einstiegsleitfaden](https://sigmahq.io/docs/guide/about.html) * [Sigma-Spezifikation](https://github.com/SigmaHQ/sigma-specification/blob/main/specification/sigma-rules-specification.md) ## 🔎 Mitwirken & PRs erstellen Bitte lesen Sie den [CONTRIBUTING](https://github.com/sigmahq/sigma/blob/master/CONTRIBUTING.md)-Leitfaden für detaillierte Anweisungen, wie Sie mit dem Beitragen neuer Regeln beginnen können. ## 📦 Regelpakete Sie können die neuesten Regelpakete von der [Release-Seite](https://github.com/SigmaHQ/sigma/releases/latest) herunterladen und noch heute mit der Nutzung von Sigma-Regeln beginnen. Neue Regeln werden auch regelmäßig veröffentlicht, schauen Sie also oft vorbei, um die neuesten Erkennungen zu erhalten. ## 🧬 Regelverwendung und -konvertierung * Sie können noch heute mit der Konvertierung von Sigma-Regeln beginnen mit: * [Sigma CLI](https://github.com/SigmaHQ/sigma-cli) - der offizielle Kommandozeilen-Konverter * [sigconverter.io](https://sigconverter.io) - webbasierter GUI-Konverter * [Detection Studio](https://detection.studio/) - webbasierter GUI-Konverter * Um Sigma-Regeln in Ihre eigene Toolchain oder Produkte zu integrieren, verwenden Sie [pySigma](https://github.com/SigmaHQ/pySigma). ## 🚨 Falschmeldungen oder neue Regelideen melden Wenn Sie eine Falschmeldung finden oder eine neue Erkennungsregelidee vorschlagen möchten, aber keine Zeit haben, eine zu erstellen, erstellen Sie bitte ein neues Issue im [GitHub-Repository](https://github.com/SigmaHQ/sigma/issues/new/choose), indem Sie eine der verfügbaren Vorlagen auswählen. ## 💬 Community Treten Sie der Sigma-Community auf [Discord](https://discord.gg/CZhaX3ygdt) bei, um über Detection Engineering zu diskutieren, Fragen zu stellen, Ideen auszutauschen und mit anderen Praktikern zusammenzuarbeiten. Wir nutzen Discord auch für Ankündigungen wie neue Releases und andere Projekt-Updates. ## 🌐 Offizielle Ressourcen * [sigmahq.io](https://sigmahq.io/) - Offizielle Sigma-Website * [SigmaHQ Blog](https://blog.sigmahq.io/) - Offizieller Blog über Detection Engineering, Regelveröffentlichungen und Sigma-Updates * [Phoenix - Sigma Rule Intelligence Platform](https://sigma.nasbench.dev/) - Suchen, analysieren und verstehen Sie Sigma-Regeln, die MITRE ATT&CK zugeordnet sind ## 📚 Ressourcen & weiterführende Literatur * [Hack.lu 2017 Sigma - Generic Signatures for Log Events by Thomas Patzke](https://www.youtube.com/watch?v=OheVuE9Ifhs) * [Sigma - Generic Signatures for SIEM Systems by Florian Roth](https://www.slideshare.net/secret/gvgxeXoKblXRcA) * [50 Shades of Sigma by Florian Roth](https://www.slideshare.net/FlorianRoth2/50-shades-of-sigma) * [Introducing Sigma Specification v2.0 by Nasreddine Bencherchali](https://blog.sigmahq.io/introducing-sigma-specification-v2-0-25f81a926ff0) * [SIGMA-Resources - Curated list of resources to learn and understand Sigma rules](https://github.com/nasbench/SIGMA-Resources) * [The Ultimate Guide to Sigma Rules by Graylog](https://graylog.org/post/the-ultimate-guide-to-sigma-rules/) * [Introduction to Sigma Rules by Intezer](https://intezer.com/blog/threat-hunting/intro-to-sigma-rules/) ## Projekte oder Produkte, die Sigma-Regeln verwenden oder integrieren * [AlphaSOC](https://docs.alphasoc.com/detections_and_findings/sigma/introduction/) - Nutzt Sigma-Regeln, um die Abdeckung über alle unterstützten Log-Quellen zu erhöhen * [alterix](https://github.com/mtnmunuklu/alterix) - Konvertiert Sigma-Regeln in die Abfragesprache von CRYPTTECHs SIEM * [AttackIQ](https://www.attackiq.com/2024/01/10/sigmaiq-attackiqs-latest-innovation-for-actionable-detections/) - Sigma-Regeln in AttackIQs Plattform integriert, und [SigmAIQ](https://github.com/AttackIQ/SigmAIQ) für Sigma-Regelkonvertierung und LLM-Apps * [Atomic Threat Coverage](https://github.com/atc-project/atomic-threat-coverage) - Ordnet Sigma-Regeln automatisch MITRE ATT&CK-Techniken, Atomic Red Team-Tests und Incident-Response-Playbooks zu (seit Dezember 2018) * [ATR (Agent Threat Rules)](https://github.com/Agent-Threat-Rule/agent-threat-rules) - Offenes, MIT-lizenziertes Erkennungsregelformat für Sicherheitsbedrohungen von KI-Agenten (Prompt Injection, Tool Poisoning, Context Exfiltration). Referenz-CLI exportiert ATR-Regeln in das Sigma-Format über `atr convert sigma`. * [AttackRuleMap](https://attackrulemap.com/) - Ordnet Atomic Red Team-Angriffssimulationen Open-Source-Sigma-Erkennungsregeln zur Abdeckungsbewertung zu * [Confluent Sigma](https://github.com/confluentinc/confluent-sigma) - Kafka Streams-unterstützte Sigma-Regeln * [Detection Studio](https://detection.studio/?ref=sigmahq_readme) - Konvertiert Sigma-Regeln in jedes unterstützte SIEM * [Exeon.UEBA](https://exeon.com/ueba/) - User and Entity Behavior Analytics (UEBA)-Lösung von Exeon, die eine integrierte Sigma-Erkennungsengine bietet * [IBM QRadar](https://community.ibm.com/community/user/security/blogs/gladys-koskas1/2023/08/02/qradar-natively-supports-sigma-for-rules-creation) - Verarbeitet Sigma-Regeln nativ für Echtzeiterkennung über die YARA and Sigma Rules Manager-App * [Joe Sandbox](https://www.joesecurity.org/blog/8225577975210857708) - Automatisierte Malware-Analyseplattform, die Sigma-Regeln während der Sandbox-Ausführung anwendet, um Bedrohungen in Verhaltens-Logs zu erkennen * [LimaCharlie](https://limacharlie.io/) - SecOps-Cloud-Plattform mit nativer Sigma-Regelunterstützung und automatischer Konvertierung in ihr Detection & Response-Regelformat * [MISP](http://www.misp-project.org/2017/03/26/MISP.2.4.70.released.html) - Open-Source-Plattform zum Teilen von Threat Intelligence mit nativer Sigma-Regelunterstützung (seit Version 2.4.70, März 2017) * [Nextron's Aurora Agent](https://www.nextron-systems.com/aurora/) - Leichtgewichtiger Sigma-basierter EDR-Agent, der ETW für Echtzeit-Endpunkterkennung verwendet * [Nextron's THOR Scanner](https://www.nextron-systems.com/thor/) - Scannen Sie mit Sigma-Regeln auf Endpunkten * [RANK VASA](https://globenewswire.com/news-release/2019/03/04/1745907/0/en/RANK-Software-to-Help-MSSPs-Scale-Cybersecurity-Offerings.html) - KI-basierte Netzwerkbedrohungserkennungsplattform, die Sigma-Regeln verwendet, um Sicherheitsanomalien für MSSPs zu identifizieren * [Saeros](https://github.com/Saeros-Security/Saeros) - Open-Source-HIDS für Windows und Active Directory mit lokalem Sigma-Regelabgleich über ETW * [Security Onion](https://docs.securityonion.net/en/3/main/sigma/) - Open-Source-Plattform zur Netzwerksicherheitsüberwachung mit integrierter Sigma-Erkennung und automatischen täglichen Regel-Updates * [Sekoia.io XDR](https://www.sekoia.io) - XDR mit Unterstützung für Sigma- und Sigma Correlation-Regelsprachen * [sigma2stix](https://github.com/muchdogesec/sigma2stix) - Konvertiert das gesamte SigmaHQ-Regelset in STIX 2.1-Objekte * [SIΣGMA](https://github.com/3CORESec/SIEGMA) - SIEM-Consumable-Generator, der Sigma für die Abfragekonvertierung nutzt * [SOC Prime](https://my.socprime.com/sigma/) - Marktplatz für Bedrohungserkennung, der Community-Sigma-Regeln mit Übersetzung in über 25 SIEM-, EDR- und XDR-Plattformen hostet * [TA-Sigma-Searches](https://github.com/dstaulcu/TA-Sigma-Searches) - Splunk-App, die gespeicherte Suchen aus konvertierten Sigma-Regeln bereitstellt * [TimeSketch](https://github.com/google/timesketch/commit/0c6c4b65a6c0f2051d074e87bbb2da2424fa6c35) - Open-Source-Tool für kollaborative forensische Zeitachsenanalyse, das Sigma-Regeln zum Taggen und Erkennen von Ereignissen verwendet * [Varpulis](https://varpulis-cep.com) - Open-Source-Stream-Engine, die Sigma-Regeln, einschließlich Korrelationsregeln, auf Kafka- oder NATS-Ereignisströmen ausführt, bewertet in Ereigniszeit * [VirusTotal](https://docs.virustotal.com/docs/crowdsourced-sigma-rules) - Wann immer eine Probe mit einer Open-Source-Sigma-Regel übereinstimmt, werden die übereinstimmenden Regeln als Teil des Dateiberichts angezeigt * [ypsilon](https://github.com/P4T12ICK/ypsilon) - Automatisiertes Use-Case-Testing ## 📜 Maintainer * [Nasreddine Bencherchali (@nas_bench)](https://x.com/nas_bench) * [Florian Roth (@cyb3rops)](https://x.com/cyb3rops) * [Christian Burkard (@phantinuss)](https://x.com/phantinuss) * [François Hubaut (@frack113)](https://x.com/frack113) * [Thomas Patzke (@blubbfiction)](https://x.com/blubbfiction) * [Mohamed Ashraf (@X__Junior)](https://x.com/X__Junior) * [Swachchhanda Shrawan Poudel (@\_swachchhanda\_)](https://x.com/_swachchhanda_) ## Danksagungen Dieses Projekt hätte ohne die Hilfe der Hunderte von Mitwirkenden niemals diese Größe erreicht. Danke an alle früheren und aktuellen Mitwirkenden für ihre Hilfe. ## Lizenzen Der Inhalt dieses Repositorys wird unter der [Detection Rule License (DRL) 1.1](https://github.com/SigmaHQ/Detection-Rule-License) veröffentlicht.
