Sigma - Formato Genérico de Firmas para Sistemas SIEM

GitHub Repo stars GitHub all releases

Bienvenido al repositorio principal de reglas Sigma. El lugar donde ingenieros de detección, cazadores de amenazas y todos los profesionales de seguridad defensiva colaboran en reglas de detección. El repositorio ofrece más de 3000 reglas de detección de diferentes tipos y tiene como objetivo hacer que las detecciones fiables sean accesibles para todos sin costo alguno.

Actualmente, el repositorio ofrece tres tipos de reglas:

Reglas de Detección Genéricas - Son independientes de amenazas; su objetivo es detectar un comportamiento o una implementación de una técnica o procedimiento que fue, puede o será utilizado por un posible actor de amenazas.
Reglas de Caza de Amenazas - Tienen un alcance más amplio y están diseñadas para proporcionar al analista un punto de partida para cazar posibles actividades sospechosas o maliciosas.
Reglas de Amenazas Emergentes - Son reglas que cubren amenazas específicas, oportunas y relevantes durante ciertos períodos de tiempo. Estas amenazas incluyen campañas de APT específicas, explotación de vulnerabilidades de día cero, malware específico utilizado durante un ataque, etc.
Reglas de Cumplimiento - Son reglas que ayudan a identificar violaciones de cumplimiento basadas en marcos de seguridad conocidos como CIS Controls, NIST, ISO 27001, etc.
Reglas de Marcadores - Son reglas que adquieren su significado final en el momento de la conversión o uso de la regla.

Explorar Sigma

Para comenzar a explorar el ecosistema Sigma, visite el sitio web oficial sigmahq.io

¿Qué es Sigma?

Sigma es un formato de firma genérico y abierto que le permite describir eventos de registro relevantes de manera sencilla. El formato de regla es muy flexible, fácil de escribir y aplicable a cualquier tipo de archivo de registro.

El propósito principal de este proyecto es proporcionar una forma estructurada en la que los investigadores o analistas puedan describir sus métodos de detección desarrollados y hacerlos compartibles con otros.

Sigma es para archivos de registro lo que Snort es para el tráfico de red y YARA es para archivos.

Sigma Description - A diagram showing Yaml Files (Sigma Rules) moving through a Sigma Convertor, and coming out as many SIEM logos, showing how Sigma rules can be converted to many different available SIEM query languages

¿Por qué Sigma?

Hoy en día, todos recopilan datos de registro para su análisis. Las personas comienzan a trabajar por su cuenta, procesando numerosos documentos técnicos, publicaciones de blog y guías de análisis de registros, extrayendo la información necesaria y construyendo sus propias búsquedas y paneles. Algunas de sus búsquedas y correlaciones son excelentes y muy útiles, pero carecen de un formato estandarizado en el que puedan compartir su trabajo con otros.

Otros proporcionan análisis excelentes, incluyen IOCs y reglas YARA para detectar los archivos maliciosos y las conexiones de red, pero no tienen forma de describir un método de detección específico o genérico en eventos de registro. Sigma está destinado a ser un estándar abierto en el que se puedan definir, compartir y recopilar dichos mecanismos de detección para mejorar las capacidades de detección para todos.

🌟 Características Clave

Una lista en crecimiento continuo de reglas de detección y caza, revisadas por pares por una comunidad de ingenieros de detección profesionales.
Reglas de detección independientes del proveedor.
Fácilmente compartibles entre comunidades e informes.

🏗️ Creación de Reglas

Para comenzar a escribir reglas Sigma, consulte la siguiente guía de inicio junto con la especificación Sigma:

🔎 Contribución y Envío de PRs

Consulte la guía CONTRIBUTING para obtener instrucciones detalladas sobre cómo puede comenzar a contribuir con nuevas reglas.

📦 Paquetes de Reglas

Puede descargar los últimos paquetes de reglas desde la página de versiones y comenzar a aprovechar las reglas Sigma hoy mismo. También se publican nuevas reglas de forma regular, así que vuelva a menudo para obtener las últimas detecciones.

🧬 Uso y Conversión de Reglas

Puede comenzar a convertir reglas Sigma hoy utilizando:
- Sigma CLI - el convertidor oficial de línea de comandos
- sigconverter.io - convertidor web basado en GUI
- Detection Studio - convertidor web basado en GUI
Para integrar reglas Sigma en su propia cadena de herramientas o productos, utilice pySigma.

🚨 Reportar Falsos Positivos o Nuevas Ideas de Reglas

Si encuentra un falso positivo o desea proponer una nueva idea de regla de detección pero no tiene tiempo para crearla, cree un nuevo problema en el repositorio de GitHub seleccionando una de las plantillas disponibles.

💬 Comunidad

Únase a la comunidad Sigma en Discord para discutir sobre ingeniería de detección, hacer preguntas, compartir ideas y colaborar con otros profesionales. También usamos Discord para anuncios como nuevas versiones y otras actualizaciones del proyecto.

🌐 Recursos Oficiales

sigmahq.io - Sitio web oficial de Sigma
Blog de SigmaHQ - Blog oficial que cubre ingeniería de detección, publicación de reglas y actualizaciones de Sigma
Phoenix - Plataforma de Inteligencia de Reglas Sigma - Busque, analice y comprenda las reglas Sigma mapeadas a MITRE ATT&CK

📚 Recursos y Lecturas Adicionales

Proyectos o Productos que usan o integran reglas Sigma

AlphaSOC - Aprovecha las reglas Sigma para aumentar la cobertura en todas las fuentes de registro compatibles
alterix - Convierte reglas Sigma al lenguaje de consulta del SIEM de CRYPTTECH
AttackIQ - Reglas Sigma integradas en la plataforma de AttackIQ, y SigmAIQ para conversión de reglas Sigma y aplicaciones LLM
Atomic Threat Coverage - Mapea automáticamente reglas Sigma a técnicas MITRE ATT&CK, pruebas de Atomic Red Team y playbooks de respuesta a incidentes (desde diciembre de 2018)
ATR (Agent Threat Rules) - Formato de regla de detección de código abierto con licencia MIT para amenazas de seguridad de agentes de IA (inyección de prompts, envenenamiento de herramientas, exfiltración de contexto). La CLI de referencia exporta reglas ATR al formato Sigma mediante atr convert sigma.
AttackRuleMap - Mapea simulaciones de ataque de Atomic Red Team a reglas de detección Sigma de código abierto para evaluación de cobertura
Confluent Sigma - Reglas Sigma compatibles con Kafka Streams
Detection Studio - Convierte reglas Sigma a cualquier SIEM compatible
Exeon.UEBA - Solución de Análisis de Comportamiento de Usuarios y Entidades (UEBA) de Exeon que proporciona un motor de detección Sigma integrado
IBM QRadar - Ingiere de forma nativa reglas Sigma para detección en tiempo real a través de la aplicación YARA and Sigma Rules Manager
Joe Sandbox - Plataforma automatizada de análisis de malware que aplica reglas Sigma durante la ejecución en sandbox para detectar amenazas en registros de comportamiento

📜 Mantenedores

Créditos

Este proyecto nunca habría alcanzado esta altura sin la ayuda de cientos de contribuyentes. Gracias a todos los contribuyentes pasados y presentes por su ayuda.

Licencias

El contenido de este repositorio se publica bajo la Detection Rule License (DRL) 1.1.

sigma

Más Populares