sigmahq/sigmaRepositorio principal de reglas Sigma
# Sigma - Formato de firma genérico para sistemas SIEM <a href="https://sigmahq.io/"> <p align="center"> <br /> <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/sigma_logo_dark.png"> <img width="454" alt="Sigma Logo" src="https://assets.kitploit.com/production/public/readmes/4061/a2268079facd1d8e001de537016b6e45246b1c4454c18721b89ae1e6020b9fc0.png"> </picture> </p> </a> <br /> <p align="center"> <a href="https://github.com/SigmaHQ/sigma/actions?query=branch%3Amaster"><img src="https://github.com/SigmaHQ/sigma/actions/workflows/sigma-test.yml/badge.svg?branch=master" alt="Sigma Build Status"></a> <a href="https://sigmahq.io/"><img src="https://cdn.jsdelivr.net/gh/SigmaHQ/sigmahq.github.io@master/images/Sigma%20Official%20Badge.svg" alt="Sigma Official Badge"></a> <img alt="GitHub Repo stars" src="https://img.shields.io/github/stars/SigmaHQ/sigma"> <img alt="GitHub all releases" src="https://img.shields.io/github/downloads/SigmaHq/Sigma/total"> <br /> <a href="https://opensourcesecurityindex.io/" target="_blank" rel="noopener"> <img style="width: 170px;" src="https://opensourcesecurityindex.io/badge.svg" alt="Open Source Security Index - Fastest Growing Open Source Security Projects" width="170" /> </a> </p> Bienvenido al repositorio principal de reglas de Sigma. El lugar donde los ingenieros de detección, los cazadores de amenazas y todos los profesionales de la seguridad defensiva colaboran en reglas de detección. El repositorio ofrece más de 3000 reglas de detección de diferentes tipos y tiene como objetivo hacer que las detecciones fiables sean accesibles para todos sin coste alguno. Actualmente el repositorio ofrece tres tipos de reglas: * [Reglas de detección genéricas](https://github.com/sigmahq/sigma/blob/master/rules) - Son agnósticas a las amenazas, su objetivo es detectar un comportamiento o una implementación de una técnica o procedimiento que fue, puede o será utilizado por un potencial actor de amenazas. * [Reglas de caza de amenazas](https://github.com/sigmahq/sigma/blob/master/rules-threat-hunting) - Son de mayor alcance y están pensadas para dar al analista un punto de partida para cazar actividad potencialmente sospechosa o maliciosa * [Reglas de amenazas emergentes](https://github.com/sigmahq/sigma/blob/master/rules-emerging-threats) - Son reglas que cubren amenazas específicas, que son oportunas y relevantes durante ciertos períodos de tiempo. Estas amenazas incluyen campañas APT específicas, explotación de vulnerabilidades Zero-Day, malware específico utilizado durante un ataque,...etc. * [Reglas de cumplimiento](https://github.com/sigmahq/sigma/blob/master/rules-compliance) - Son reglas que te ayudan a identificar violaciones de cumplimiento basadas en marcos de seguridad conocidos como CIS Controls, NIST, ISO 27001,...etc. * [Reglas de marcador de posición](https://github.com/sigmahq/sigma/blob/master/rules-placeholder) - Son reglas que obtienen su significado final en el momento de conversión o uso de la regla. ## Explorar Sigma Para comenzar a explorar el ecosistema Sigma, visita el sitio web oficial [sigmahq.io](https://sigmahq.io) ### Qué es Sigma Sigma es un formato de firma genérico y abierto que permite describir eventos de registro relevantes de forma sencilla. El formato de regla es muy flexible, fácil de escribir y aplicable a cualquier tipo de archivo de registro. El propósito principal de este proyecto es proporcionar una forma estructurada en la que investigadores o analistas puedan describir sus métodos de detección una vez desarrollados y hacerlos compartibles con otros. Sigma es para los archivos de registro lo que [Snort](https://www.snort.org/) es para el tráfico de red y [YARA](https://github.com/VirusTotal/yara) es para los archivos. <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/Sigma_description_dark.png"> <img alt="Sigma Description - A diagram showing Yaml Files (Sigma Rules) moving through a Sigma Convertor, and coming out as many SIEM logos, showing how Sigma rules can be converted to many different available SIEM query languages" src="https://assets.kitploit.com/production/public/readmes/4061/df17fffca3b075c9a775bfd0e957f1151caf5089296d2321650051300994acb9.png"> </picture> ### Por qué Sigma Hoy en día, todo el mundo recopila datos de registro para su análisis. Las personas empiezan a trabajar por su cuenta, procesando numerosos white papers, publicaciones de blogs y guías de análisis de registros, extrayendo la información necesaria y construyendo sus propias búsquedas y paneles. Algunas de sus búsquedas y correlaciones son excelentes y muy útiles, pero carecen de un formato estandarizado en el que puedan compartir su trabajo con otros. Otros proporcionan análisis excelentes, incluyen IOCs y reglas YARA para detectar los archivos maliciosos y las conexiones de red, pero no tienen forma de describir un método de detección específico o genérico en eventos de registro. Sigma está pensado para ser un estándar abierto en el que dichos mecanismos de detección puedan definirse, compartirse y recopilarse con el fin de mejorar las capacidades de detección para todos. ### 🌟 Características clave * Una lista en continuo crecimiento de reglas de detección y caza, revisadas por pares por una comunidad de ingenieros de detección profesionales. * Reglas de detección agnósticas al proveedor. * Fácilmente compartibles entre comunidades e informes ## 🏗️ Creación de reglas Para empezar a escribir reglas Sigma, consulta la siguiente guía de inicio junto con la especificación de sigma: * [Guía de inicio](https://sigmahq.io/docs/guide/about.html) * [Especificación de Sigma](https://github.com/SigmaHQ/sigma-specification/blob/main/specification/sigma-rules-specification.md) ## 🔎 Contribuir y hacer PRs Consulta la guía de [CONTRIBUTING](https://github.com/sigmahq/sigma/blob/master/CONTRIBUTING.md) para obtener instrucciones detalladas sobre cómo puedes empezar a contribuir con nuevas reglas. ## 📦 Paquetes de reglas Puedes descargar los últimos paquetes de reglas desde la [página de versiones](https://github.com/SigmaHQ/sigma/releases/latest) y empezar a aprovechar las reglas Sigma hoy mismo. También se publican nuevas reglas de forma regular, así que vuelve a consultar a menudo para obtener las últimas detecciones. ## 🧬 Uso y conversión de reglas * Puedes empezar a convertir reglas Sigma hoy mismo usando: * [Sigma CLI](https://github.com/SigmaHQ/sigma-cli) - el conversor oficial de línea de comandos * [sigconverter.io](https://sigconverter.io) - conversor GUI basado en web * [Detection Studio](https://detection.studio/) - conversor GUI basado en web * Para integrar reglas Sigma en tu propia cadena de herramientas o productos, usa [pySigma](https://github.com/SigmaHQ/pySigma). ## 🚨 Reportar falsos positivos o nuevas ideas de reglas Si encuentras un falso positivo o te gustaría proponer una nueva idea de regla de detección pero no tienes tiempo para crearla, por favor crea un nuevo issue en el [repositorio de GitHub](https://github.com/SigmaHQ/sigma/issues/new/choose) seleccionando una de las plantillas disponibles. ## 💬 Comunidad Únete a la comunidad Sigma en [Discord](https://discord.gg/CZhaX3ygdt) para discutir sobre ingeniería de detección, hacer preguntas, compartir ideas y colaborar con otros profesionales. También usamos Discord para anuncios como nuevas versiones y otras actualizaciones del proyecto. ## 🌐 Recursos oficiales * [sigmahq.io](https://sigmahq.io/) - Sitio web oficial de Sigma * [Blog de SigmaHQ](https://blog.sigmahq.io/) - Blog oficial que cubre ingeniería de detección, publicaciones de reglas y actualizaciones de Sigma * [Phoenix - Plataforma de inteligencia de reglas Sigma](https://sigma.nasbench.dev/) - Busca, analiza y comprende reglas Sigma mapeadas a MITRE ATT&CK ## 📚 Recursos y lecturas adicionales * [Hack.lu 2017 Sigma - Generic Signatures for Log Events by Thomas Patzke](https://www.youtube.com/watch?v=OheVuE9Ifhs) * [Sigma - Generic Signatures for SIEM Systems by Florian Roth](https://www.slideshare.net/secret/gvgxeXoKblXRcA) * [50 Shades of Sigma by Florian Roth](https://www.slideshare.net/FlorianRoth2/50-shades-of-sigma) * [Introducing Sigma Specification v2.0 by Nasreddine Bencherchali](https://blog.sigmahq.io/introducing-sigma-specification-v2-0-25f81a926ff0) * [SIGMA-Resources - Curated list of resources to learn and understand Sigma rules](https://github.com/nasbench/SIGMA-Resources) * [The Ultimate Guide to Sigma Rules by Graylog](https://graylog.org/post/the-ultimate-guide-to-sigma-rules/) * [Introduction to Sigma Rules by Intezer](https://intezer.com/blog/threat-hunting/intro-to-sigma-rules/) ## Proyectos o productos que usan o integran reglas Sigma * [AlphaSOC](https://docs.alphasoc.com/detections_and_findings/sigma/introduction/) - Aprovecha las reglas Sigma para aumentar la cobertura en todas las fuentes de registro compatibles * [alterix](https://github.com/mtnmunuklu/alterix) - Convierte reglas Sigma al lenguaje de consulta del SIEM de CRYPTTECH * [AttackIQ](https://www.attackiq.com/2024/01/10/sigmaiq-attackiqs-latest-innovation-for-actionable-detections/) - Reglas Sigma integradas en la plataforma de AttackIQ, y [SigmAIQ](https://github.com/AttackIQ/SigmAIQ) para la conversión de reglas Sigma y aplicaciones LLM * [Atomic Threat Coverage](https://github.com/atc-project/atomic-threat-coverage) - Mapea automáticamente reglas Sigma a técnicas de MITRE ATT&CK, pruebas de Atomic Red Team y playbooks de respuesta a incidentes (desde diciembre de 2018) * [ATR (Agent Threat Rules)](https://github.com/Agent-Threat-Rule/agent-threat-rules) - Formato de reglas de detección de código abierto con licencia MIT para amenazas de seguridad de agentes de IA (inyección de prompts, envenenamiento de herramientas, exfiltración de contexto). La CLI de referencia exporta reglas ATR al formato Sigma mediante `atr convert sigma`. * [AttackRuleMap](https://attackrulemap.com/) - Mapea simulaciones de ataques de Atomic Red Team a reglas de detección Sigma de código abierto para evaluar la cobertura * [Confluent Sigma](https://github.com/confluentinc/confluent-sigma) - Reglas Sigma compatibles con Kafka Streams * [Detection Studio](https://detection.studio/?ref=sigmahq_readme) - Convierte reglas Sigma a cualquier SIEM compatible * [Exeon.UEBA](https://exeon.com/ueba/) - Solución de análisis de comportamiento de usuarios y entidades (UEBA) de Exeon que proporciona un motor de detección Sigma integrado * [IBM QRadar](https://community.ibm.com/community/user/security/blogs/gladys-koskas1/2023/08/02/qradar-natively-supports-sigma-for-rules-creation) - Ingiere de forma nativa reglas Sigma para detección en tiempo real a través de la aplicación YARA and Sigma Rules Manager * [Joe Sandbox](https://www.joesecurity.org/blog/8225577975210857708) - Plataforma automatizada de análisis de malware que aplica reglas Sigma durante la ejecución en sandbox para detectar amenazas en registros de comportamiento * [LimaCharlie](https://limacharlie.io/) - Plataforma en la nube de SecOps con soporte nativo de reglas Sigma y conversión automática a su formato de reglas de Detección y Respuesta * [MISP](http://www.misp-project.org/2017/03/26/MISP.2.4.70.released.html) - Plataforma de código abierto para compartir inteligencia de amenazas con soporte nativo de reglas Sigma (desde la versión 2.4.70, marzo de 2017) * [Nextron's Aurora Agent](https://www.nextron-systems.com/aurora/) - Agente EDR ligero basado en Sigma que usa ETW para detección en tiempo real en endpoints * [Nextron's THOR Scanner](https://www.nextron-systems.com/thor/) - Escanea con reglas Sigma en endpoints * [RANK VASA](https://globenewswire.com/news-release/2019/03/04/1745907/0/en/RANK-Software-to-Help-MSSPs-Scale-Cybersecurity-Offerings.html) - Plataforma de detección de amenazas de red basada en IA que usa reglas Sigma para identificar anomalías de seguridad para MSSPs * [Saeros](https://github.com/Saeros-Security/Saeros) - HIDS de código abierto para Windows y Active Directory con coincidencia local de reglas Sigma mediante ETW * [Security Onion](https://docs.securityonion.net/en/3/main/sigma/) - Plataforma de código abierto para monitoreo de seguridad de red con detección Sigma integrada y actualizaciones automáticas diarias de reglas * [Sekoia.io XDR](https://www.sekoia.io) - XDR compatible con los lenguajes de reglas Sigma y Sigma Correlation * [sigma2stix](https://github.com/muchdogesec/sigma2stix) - Convierte todo el conjunto de reglas de SigmaHQ en objetos STIX 2.1 * [SIΣGMA](https://github.com/3CORESec/SIEGMA) - Generador consumible por SIEM que utiliza Sigma para la conversión de consultas * [SOC Prime](https://my.socprime.com/sigma/) - Mercado de detección de amenazas que aloja reglas Sigma de la comunidad con traducción a más de 25 plataformas SIEM, EDR y XDR * [TA-Sigma-Searches](https://github.com/dstaulcu/TA-Sigma-Searches) - Aplicación de Splunk que proporciona búsquedas guardadas derivadas de reglas Sigma convertidas * [TimeSketch](https://github.com/google/timesketch/commit/0c6c4b65a6c0f2051d074e87bbb2da2424fa6c35) - Herramienta de código abierto para análisis colaborativo de líneas de tiempo forenses que usa reglas Sigma para etiquetar y detectar eventos * [Varpulis](https://varpulis-cep.com) - Motor de flujos de código abierto que ejecuta reglas Sigma, incluidas reglas de correlación, en flujos de eventos de Kafka o NATS, evaluados en tiempo de evento * [VirusTotal](https://docs.virustotal.com/docs/crowdsourced-sigma-rules) - Siempre que una muestra coincide con alguna regla Sigma de código abierto, las reglas coincidentes se muestran como parte del informe del archivo * [ypsilon](https://github.com/P4T12ICK/ypsilon) - Pruebas automatizadas de casos de uso ## 📜 Mantenedores * [Nasreddine Bencherchali (@nas_bench)](https://x.com/nas_bench) * [Florian Roth (@cyb3rops)](https://x.com/cyb3rops) * [Christian Burkard (@phantinuss)](https://x.com/phantinuss) * [François Hubaut (@frack113)](https://x.com/frack113) * [Thomas Patzke (@blubbfiction)](https://x.com/blubbfiction) * [Mohamed Ashraf (@X__Junior)](https://x.com/X__Junior) * [Swachchhanda Shrawan Poudel (@\_swachchhanda\_)](https://x.com/_swachchhanda_) ## Créditos Este proyecto nunca habría alcanzado esta altura sin la ayuda de los cientos de contribuidores. Gracias a todos los contribuidores pasados y presentes por su ayuda. ## Licencias El contenido de este repositorio se publica bajo la [Detection Rule License (DRL) 1.1](https://github.com/SigmaHQ/Detection-Rule-License).
