sigmahq/sigmaRépertoire principal des règles Sigma
# Sigma - Format de signature générique pour les systèmes SIEM <a href="https://sigmahq.io/"> <p align="center"> <br /> <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/sigma_logo_dark.png"> <img width="454" alt="Sigma Logo" src="https://assets.kitploit.com/production/public/readmes/4061/a2268079facd1d8e001de537016b6e45246b1c4454c18721b89ae1e6020b9fc0.png"> </picture> </p> </a> <br /> <p align="center"> <a href="https://github.com/SigmaHQ/sigma/actions?query=branch%3Amaster"><img src="https://github.com/SigmaHQ/sigma/actions/workflows/sigma-test.yml/badge.svg?branch=master" alt="Sigma Build Status"></a> <a href="https://sigmahq.io/"><img src="https://cdn.jsdelivr.net/gh/SigmaHQ/sigmahq.github.io@master/images/Sigma%20Official%20Badge.svg" alt="Sigma Official Badge"></a> <img alt="GitHub Repo stars" src="https://img.shields.io/github/stars/SigmaHQ/sigma"> <img alt="GitHub all releases" src="https://img.shields.io/github/downloads/SigmaHq/Sigma/total"> <br /> <a href="https://opensourcesecurityindex.io/" target="_blank" rel="noopener"> <img style="width: 170px;" src="https://opensourcesecurityindex.io/badge.svg" alt="Open Source Security Index - Fastest Growing Open Source Security Projects" width="170" /> </a> </p> Bienvenue dans le dépôt principal de règles Sigma. Le lieu où les ingénieurs en détection, les chasseurs de menaces et tous les praticiens de la sécurité défensive collaborent sur des règles de détection. Le dépôt propose plus de 3000 règles de détection de différents types et vise à rendre des détections fiables accessibles à tous, gratuitement. Actuellement, le dépôt propose trois types de règles : * [Règles de détection génériques](https://github.com/sigmahq/sigma/blob/master/rules) - Sont agnostiques vis-à-vis des menaces, leur objectif est de détecter un comportement ou une implémentation d'une technique ou procédure qui a été, peut ou sera utilisée par un acteur de menace potentiel. * [Règles de chasse aux menaces](https://github.com/sigmahq/sigma/blob/master/rules-threat-hunting) - Sont plus larges en portée et visent à donner à l'analyste un point de départ pour chasser une activité suspecte ou malveillante potentielle * [Règles sur les menaces émergentes](https://github.com/sigmahq/sigma/blob/master/rules-emerging-threats) - Sont des règles qui couvrent des menaces spécifiques, opportunes et pertinentes pour certaines périodes. Ces menaces incluent des campagnes APT spécifiques, l'exploitation de vulnérabilités Zero-Day, des malwares spécifiques utilisés lors d'une attaque,...etc. * [Règles de conformité](https://github.com/sigmahq/sigma/blob/master/rules-compliance) - Sont des règles qui vous aident à identifier les violations de conformité en fonction de cadres de sécurité bien connus tels que les contrôles CIS, NIST, ISO 27001,...etc. * [Règles de remplacement](https://github.com/sigmahq/sigma/blob/master/rules-placeholder) - Sont des règles qui acquièrent leur signification finale au moment de la conversion ou de l'utilisation de la règle. ## Explorer Sigma Pour commencer à explorer l'écosystème Sigma, veuillez visiter le site officiel [sigmahq.io](https://sigmahq.io) ### Qu'est-ce que Sigma Sigma est un format de signature générique et ouvert qui permet de décrire les événements de journal pertinents de manière simple. Le format de règle est très flexible, facile à écrire et applicable à tout type de fichier journal. L'objectif principal de ce projet est de fournir une forme structurée dans laquelle les chercheurs ou analystes peuvent décrire leurs méthodes de détection une fois développées et les rendre partageables avec d'autres. Sigma est pour les fichiers journaux ce que [Snort](https://www.snort.org/) est pour le trafic réseau et [YARA](https://github.com/VirusTotal/yara) est pour les fichiers. <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/Sigma_description_dark.png"> <img alt="Sigma Description - A diagram showing Yaml Files (Sigma Rules) moving through a Sigma Convertor, and coming out as many SIEM logos, showing how Sigma rules can be converted to many different available SIEM query languages" src="https://assets.kitploit.com/production/public/readmes/4061/df17fffca3b075c9a775bfd0e957f1151caf5089296d2321650051300994acb9.png"> </picture> ### Pourquoi Sigma Aujourd'hui, tout le monde collecte des données de journal pour analyse. Les gens commencent à travailler seuls, traitant de nombreux livres blancs, articles de blog et guides d'analyse de journaux, extrayant les informations nécessaires et construisant leurs propres recherches et tableaux de bord. Certaines de leurs recherches et corrélations sont excellentes et très utiles, mais il leur manque un format standardisé dans lequel ils peuvent partager leur travail avec d'autres. D'autres fournissent d'excellentes analyses, incluent des IOC et des règles YARA pour détecter les fichiers malveillants et les connexions réseau, mais n'ont aucun moyen de décrire une méthode de détection spécifique ou générique dans les événements de journal. Sigma est destiné à être un standard ouvert dans lequel de tels mécanismes de détection peuvent être définis, partagés et collectés afin d'améliorer les capacités de détection pour tous. ### 🌟 Caractéristiques principales * Une liste croissante de règles de détection et de chasse, examinées par les pairs par une communauté d'ingénieurs en détection professionnels. * Des règles de détection indépendantes du fournisseur. * Facilement partageables entre les communautés et les rapports ## 🏗️ Création de règles Pour commencer à écrire des règles Sigma, veuillez consulter le guide de démarrage suivant ainsi que la spécification Sigma : * [Guide de démarrage](https://sigmahq.io/docs/guide/about.html) * [Spécification Sigma](https://github.com/SigmaHQ/sigma-specification/blob/main/specification/sigma-rules-specification.md) ## 🔎 Contribution et création de PR Veuillez vous référer au guide [CONTRIBUTING](https://github.com/sigmahq/sigma/blob/master/CONTRIBUTING.md) pour des instructions détaillées sur la façon dont vous pouvez commencer à contribuer de nouvelles règles. ## 📦 Packages de règles Vous pouvez télécharger les derniers packages de règles depuis la [page de publication](https://github.com/SigmaHQ/sigma/releases/latest) et commencer à tirer parti des règles Sigma dès aujourd'hui. De nouvelles règles sont également publiées régulièrement, alors revenez souvent pour les dernières détections. ## 🧬 Utilisation et conversion des règles * Vous pouvez commencer à convertir des règles Sigma dès aujourd'hui en utilisant : * [Sigma CLI](https://github.com/SigmaHQ/sigma-cli) - le convertisseur officiel en ligne de commande * [sigconverter.io](https://sigconverter.io) - convertisseur GUI basé sur le web * [Detection Studio](https://detection.studio/) - convertisseur GUI basé sur le web * Pour intégrer les règles Sigma dans votre propre chaîne d'outils ou produits, utilisez [pySigma](https://github.com/SigmaHQ/pySigma). ## 🚨 Signaler des faux positifs ou de nouvelles idées de règles Si vous trouvez un faux positif ou souhaitez proposer une nouvelle idée de règle de détection mais n'avez pas le temps d'en créer une, veuillez créer un nouveau ticket sur le [dépôt GitHub](https://github.com/SigmaHQ/sigma/issues/new/choose) en sélectionnant l'un des modèles disponibles. ## 💬 Communauté Rejoignez la communauté Sigma sur [Discord](https://discord.gg/CZhaX3ygdt) pour discuter d'ingénierie de détection, poser des questions, partager des idées et collaborer avec d'autres praticiens. Nous utilisons également Discord pour les annonces telles que les nouvelles versions et autres mises à jour du projet. ## 🌐 Ressources officielles * [sigmahq.io](https://sigmahq.io/) - Site officiel de Sigma * [Blog SigmaHQ](https://blog.sigmahq.io/) - Blog officiel couvrant l'ingénierie de détection, les publications de règles et les mises à jour de Sigma * [Phoenix - Plateforme d'intelligence des règles Sigma](https://sigma.nasbench.dev/) - Recherchez, analysez et comprenez les règles Sigma mappées à MITRE ATT&CK ## 📚 Ressources et lectures complémentaires * [Hack.lu 2017 Sigma - Generic Signatures for Log Events by Thomas Patzke](https://www.youtube.com/watch?v=OheVuE9Ifhs) * [Sigma - Generic Signatures for SIEM Systems by Florian Roth](https://www.slideshare.net/secret/gvgxeXoKblXRcA) * [50 Shades of Sigma by Florian Roth](https://www.slideshare.net/FlorianRoth2/50-shades-of-sigma) * [Introducing Sigma Specification v2.0 by Nasreddine Bencherchali](https://blog.sigmahq.io/introducing-sigma-specification-v2-0-25f81a926ff0) * [SIGMA-Resources - Curated list of resources to learn and understand Sigma rules](https://github.com/nasbench/SIGMA-Resources) * [The Ultimate Guide to Sigma Rules by Graylog](https://graylog.org/post/the-ultimate-guide-to-sigma-rules/) * [Introduction to Sigma Rules by Intezer](https://intezer.com/blog/threat-hunting/intro-to-sigma-rules/) ## Projets ou produits qui utilisent ou intègrent les règles Sigma * [AlphaSOC](https://docs.alphasoc.com/detections_and_findings/sigma/introduction/) - Tire parti des règles Sigma pour augmenter la couverture sur toutes les sources de journaux prises en charge * [alterix](https://github.com/mtnmunuklu/alterix) - Convertit les règles Sigma vers le langage de requête du SIEM de CRYPTTECH * [AttackIQ](https://www.attackiq.com/2024/01/10/sigmaiq-attackiqs-latest-innovation-for-actionable-detections/) - Règles Sigma intégrées dans la plateforme d'AttackIQ, et [SigmAIQ](https://github.com/AttackIQ/SigmAIQ) pour la conversion des règles Sigma et les applications LLM * [Atomic Threat Coverage](https://github.com/atc-project/atomic-threat-coverage) - Mappe automatiquement les règles Sigma aux techniques MITRE ATT&CK, aux tests Atomic Red Team et aux playbooks de réponse aux incidents (depuis décembre 2018) * [ATR (Agent Threat Rules)](https://github.com/Agent-Threat-Rule/agent-threat-rules) - Format de règle de détection open source sous licence MIT pour les menaces de sécurité des agents IA (injection de prompt, empoisonnement d'outils, exfiltration de contexte). Le CLI de référence exporte les règles ATR au format Sigma via `atr convert sigma`. * [AttackRuleMap](https://attackrulemap.com/) - Mappe les simulations d'attaque Atomic Red Team aux règles de détection Sigma open source pour l'évaluation de la couverture * [Confluent Sigma](https://github.com/confluentinc/confluent-sigma) - Règles Sigma prises en charge par Kafka Streams * [Detection Studio](https://detection.studio/?ref=sigmahq_readme) - Convertit les règles Sigma vers n'importe quel SIEM pris en charge * [Exeon.UEBA](https://exeon.com/ueba/) - Solution d'analyse comportementale des utilisateurs et des entités (UEBA) d'Exeon qui fournit un moteur de détection Sigma intégré * [IBM QRadar](https://community.ibm.com/community/user/security/blogs/gladys-koskas1/2023/08/02/qradar-natively-supports-sigma-for-rules-creation) - Ingère nativement les règles Sigma pour la détection en temps réel via l'application YARA and Sigma Rules Manager * [Joe Sandbox](https://www.joesecurity.org/blog/8225577975210857708) - Plateforme d'analyse automatisée de malwares qui applique les règles Sigma lors de l'exécution en sandbox pour détecter les menaces dans les journaux comportementaux * [LimaCharlie](https://limacharlie.io/) - Plateforme cloud SecOps avec prise en charge native des règles Sigma et conversion automatique vers son format de règle Detection & Response * [MISP](http://www.misp-project.org/2017/03/26/MISP.2.4.70.released.html) - Plateforme open source de partage de renseignements sur les menaces avec prise en charge native des règles Sigma (depuis la version 2.4.70, mars 2017) * [Nextron's Aurora Agent](https://www.nextron-systems.com/aurora/) - Agent EDR léger basé sur Sigma utilisant ETW pour la détection en temps réel des points de terminaison * [Nextron's THOR Scanner](https://www.nextron-systems.com/thor/) - Analyse avec les règles Sigma sur les points de terminaison * [RANK VASA](https://globenewswire.com/news-release/2019/03/04/1745907/0/en/RANK-Software-to-Help-MSSPs-Scale-Cybersecurity-Offerings.html) - Plateforme de détection des menaces réseau basée sur l'IA qui utilise les règles Sigma pour identifier les anomalies de sécurité pour les MSSP * [Saeros](https://github.com/Saeros-Security/Saeros) - HIDS open source pour Windows et Active Directory avec correspondance locale des règles Sigma via ETW * [Security Onion](https://docs.securityonion.net/en/3/main/sigma/) - Plateforme open source de surveillance de la sécurité réseau avec détection Sigma intégrée et mises à jour automatiques quotidiennes des règles * [Sekoia.io XDR](https://www.sekoia.io) - XDR prenant en charge les langages de règles Sigma et Sigma Correlation * [sigma2stix](https://github.com/muchdogesec/sigma2stix) - Convertit l'ensemble du Ruleset SigmaHQ en objets STIX 2.1 * [SIΣGMA](https://github.com/3CORESec/SIEGMA) - Générateur consommable par SIEM qui utilise Sigma pour la conversion de requêtes * [SOC Prime](https://my.socprime.com/sigma/) - Marché de détection des menaces hébergeant des règles Sigma communautaires avec traduction vers plus de 25 plateformes SIEM, EDR et XDR * [TA-Sigma-Searches](https://github.com/dstaulcu/TA-Sigma-Searches) - Application Splunk fournissant des recherches enregistrées dérivées de règles Sigma converties * [TimeSketch](https://github.com/google/timesketch/commit/0c6c4b65a6c0f2051d074e87bbb2da2424fa6c35) - Outil open source d'analyse collaborative de chronologies forensiques qui utilise les règles Sigma pour étiqueter et détecter les événements * [Varpulis](https://varpulis-cep.com) - Moteur de flux open source qui exécute les règles Sigma, y compris les règles de corrélation, sur des flux d'événements Kafka ou NATS, jugés en temps événementiel * [VirusTotal](https://docs.virustotal.com/docs/crowdsourced-sigma-rules) - Chaque fois qu'un échantillon correspond à une règle Sigma open source, les règles correspondantes sont affichées dans le cadre du rapport de fichier * [ypsilon](https://github.com/P4T12ICK/ypsilon) - Test automatisé de cas d'usage ## 📜 Mainteneurs * [Nasreddine Bencherchali (@nas_bench)](https://x.com/nas_bench) * [Florian Roth (@cyb3rops)](https://x.com/cyb3rops) * [Christian Burkard (@phantinuss)](https://x.com/phantinuss) * [François Hubaut (@frack113)](https://x.com/frack113) * [Thomas Patzke (@blubbfiction)](https://x.com/blubbfiction) * [Mohamed Ashraf (@X__Junior)](https://x.com/X__Junior) * [Swachchhanda Shrawan Poudel (@\_swachchhanda\_)](https://x.com/_swachchhanda_) ## Crédits Ce projet n'aurait jamais atteint cette ampleur sans l'aide des centaines de contributeurs. Merci à tous les contributeurs passés et présents pour leur aide. ## Licences Le contenu de ce dépôt est publié sous la [Detection Rule License (DRL) 1.1](https://github.com/SigmaHQ/Detection-Rule-License).
