sigmahq/sigmaRepository principale delle regole Sigma
# Sigma - Formato di firma generico per sistemi SIEM <a href="https://sigmahq.io/"> <p align="center"> <br /> <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/sigma_logo_dark.png"> <img width="454" alt="Sigma Logo" src="https://assets.kitploit.com/production/public/readmes/4061/a2268079facd1d8e001de537016b6e45246b1c4454c18721b89ae1e6020b9fc0.png"> </picture> </p> </a> <br /> <p align="center"> <a href="https://github.com/SigmaHQ/sigma/actions?query=branch%3Amaster"><img src="https://github.com/SigmaHQ/sigma/actions/workflows/sigma-test.yml/badge.svg?branch=master" alt="Sigma Build Status"></a> <a href="https://sigmahq.io/"><img src="https://cdn.jsdelivr.net/gh/SigmaHQ/sigmahq.github.io@master/images/Sigma%20Official%20Badge.svg" alt="Sigma Official Badge"></a> <img alt="GitHub Repo stars" src="https://img.shields.io/github/stars/SigmaHQ/sigma"> <img alt="GitHub all releases" src="https://img.shields.io/github/downloads/SigmaHq/Sigma/total"> <br /> <a href="https://opensourcesecurityindex.io/" target="_blank" rel="noopener"> <img style="width: 170px;" src="https://opensourcesecurityindex.io/badge.svg" alt="Open Source Security Index - Fastest Growing Open Source Security Projects" width="170" /> </a> </p> Benvenuti nel repository principale delle regole Sigma. Il luogo in cui detection engineer, threat hunter e tutti i professionisti della sicurezza difensiva collaborano sulle regole di detection. Il repository offre più di 3000 regole di detection di diverso tipo e mira a rendere le detection affidabili accessibili a tutti senza alcun costo. Attualmente il repository offre tre tipi di regole: * [Regole di Detection Generiche](https://github.com/sigmahq/sigma/blob/master/rules) - Sono threat agnostic, il loro scopo è rilevare un comportamento o un'implementazione di una tecnica o procedura che è stata, può o sarà utilizzata da un potenziale threat actor. * [Regole di Threat Hunting](https://github.com/sigmahq/sigma/blob/master/rules-threat-hunting) - Hanno una portata più ampia e sono pensate per dare all'analista un punto di partenza per cacciare potenziali attività sospette o malevole * [Regole per Minacce Emergenti](https://github.com/sigmahq/sigma/blob/master/rules-emerging-threats) - Sono regole che coprono minacce specifiche, tempestive e rilevanti per determinati periodi di tempo. Queste minacce includono campagne APT specifiche, sfruttamento di vulnerabilità Zero-Day, malware specifici utilizzati durante un attacco,...ecc. * [Regole di Compliance](https://github.com/sigmahq/sigma/blob/master/rules-compliance) - Sono regole che aiutano a identificare violazioni di compliance basate su framework di sicurezza ben noti come CIS Controls, NIST, ISO 27001,...ecc. * [Regole Placeholder](https://github.com/sigmahq/sigma/blob/master/rules-placeholder) - Sono regole che acquisiscono il loro significato finale al momento della conversione o dell'utilizzo della regola. ## Esplorare Sigma Per iniziare a esplorare l'ecosistema Sigma, visita il sito web ufficiale [sigmahq.io](https://sigmahq.io) ### Cos'è Sigma Sigma è un formato di firma generico e aperto che consente di descrivere eventi di log rilevanti in modo semplice. Il formato delle regole è molto flessibile, facile da scrivere e applicabile a qualsiasi tipo di file di log. Lo scopo principale di questo progetto è fornire una forma strutturata in cui ricercatori o analisti possano descrivere i propri metodi di detection una volta sviluppati e renderli condivisibili con altri. Sigma è per i file di log ciò che [Snort](https://www.snort.org/) è per il traffico di rete e [YARA](https://github.com/VirusTotal/yara) è per i file. <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/Sigma_description_dark.png"> <img alt="Sigma Description - A diagram showing Yaml Files (Sigma Rules) moving through a Sigma Convertor, and coming out as many SIEM logos, showing how Sigma rules can be converted to many different available SIEM query languages" src="https://assets.kitploit.com/production/public/readmes/4061/df17fffca3b075c9a775bfd0e957f1151caf5089296d2321650051300994acb9.png"> </picture> ### Perché Sigma Oggi tutti raccolgono dati di log per l'analisi. Le persone iniziano a lavorare in autonomia, elaborando numerosi white paper, post di blog e linee guida per l'analisi dei log, estraendo le informazioni necessarie e costruendo le proprie ricerche e dashboard. Alcune delle loro ricerche e correlazioni sono ottime e molto utili ma mancano di un formato standardizzato in cui possano condividere il proprio lavoro con altri. Altri forniscono analisi eccellenti, includono IOC e regole YARA per rilevare file malevoli e connessioni di rete, ma non hanno modo di descrivere un metodo di detection specifico o generico negli eventi di log. Sigma vuole essere uno standard aperto in cui tali meccanismi di detection possano essere definiti, condivisi e raccolti al fine di migliorare le capacità di detection per tutti. ### 🌟 Caratteristiche principali * Un elenco in continua crescita di regole di detection e hunting, sottoposte a peer review da una comunità di Detection Engineer professionisti. * Regole di detection vendor agnostic. * Facilmente condivisibili tra comunità e report ## 🏗️ Creazione delle regole Per iniziare a scrivere regole Sigma consulta la seguente guida introduttiva insieme alla specifica Sigma: * [Guida introduttiva](https://sigmahq.io/docs/guide/about.html) * [Specifica Sigma](https://github.com/SigmaHQ/sigma-specification/blob/main/specification/sigma-rules-specification.md) ## 🔎 Contribuire e creare PR Fai riferimento alla guida [CONTRIBUTING](https://github.com/sigmahq/sigma/blob/master/CONTRIBUTING.md) per istruzioni dettagliate su come iniziare a contribuire con nuove regole. ## 📦 Pacchetti di regole Puoi scaricare i pacchetti di regole più recenti dalla [pagina delle release](https://github.com/SigmaHQ/sigma/releases/latest) e iniziare a sfruttare le regole Sigma oggi stesso. Nuove regole vengono rilasciate anche su base regolare, quindi torna spesso a controllare le ultime detection. ## 🧬 Utilizzo e conversione delle regole * Puoi iniziare a convertire le regole Sigma oggi stesso utilizzando: * [Sigma CLI](https://github.com/SigmaHQ/sigma-cli) - il convertitore ufficiale da riga di comando * [sigconverter.io](https://sigconverter.io) - convertitore GUI basato sul web * [Detection Studio](https://detection.studio/) - convertitore GUI basato sul web * Per integrare le regole Sigma nella tua toolchain o nei tuoi prodotti usa [pySigma](https://github.com/SigmaHQ/pySigma). ## 🚨 Segnalare falsi positivi o nuove idee per regole Se trovi un falso positivo o desideri proporre una nuova idea di regola di detection ma non hai il tempo di crearne una, crea una nuova issue sul [repository GitHub](https://github.com/SigmaHQ/sigma/issues/new/choose) selezionando uno dei template disponibili. ## 💬 Comunità Unisciti alla comunità Sigma su [Discord](https://discord.gg/CZhaX3ygdt) per discutere di detection engineering, porre domande, condividere idee e collaborare con altri professionisti. Usiamo Discord anche per annunci come nuove release e altri aggiornamenti del progetto. ## 🌐 Risorse ufficiali * [sigmahq.io](https://sigmahq.io/) - Sito web ufficiale di Sigma * [SigmaHQ Blog](https://blog.sigmahq.io/) - Blog ufficiale che copre detection engineering, release di regole e aggiornamenti Sigma * [Phoenix - Sigma Rule Intelligence Platform](https://sigma.nasbench.dev/) - Cerca, analizza e comprendi le regole Sigma mappate a MITRE ATT&CK ## 📚 Risorse e approfondimenti * [Hack.lu 2017 Sigma - Generic Signatures for Log Events by Thomas Patzke](https://www.youtube.com/watch?v=OheVuE9Ifhs) * [Sigma - Generic Signatures for SIEM Systems by Florian Roth](https://www.slideshare.net/secret/gvgxeXoKblXRcA) * [50 Shades of Sigma by Florian Roth](https://www.slideshare.net/FlorianRoth2/50-shades-of-sigma) * [Introducing Sigma Specification v2.0 by Nasreddine Bencherchali](https://blog.sigmahq.io/introducing-sigma-specification-v2-0-25f81a926ff0) * [SIGMA-Resources - Curated list of resources to learn and understand Sigma rules](https://github.com/nasbench/SIGMA-Resources) * [The Ultimate Guide to Sigma Rules by Graylog](https://graylog.org/post/the-ultimate-guide-to-sigma-rules/) * [Introduction to Sigma Rules by Intezer](https://intezer.com/blog/threat-hunting/intro-to-sigma-rules/) ## Progetti o prodotti che usano o integrano le regole Sigma * [AlphaSOC](https://docs.alphasoc.com/detections_and_findings/sigma/introduction/) - Sfrutta le regole Sigma per aumentare la copertura su tutte le fonti di log supportate * [alterix](https://github.com/mtnmunuklu/alterix) - Converte le regole Sigma nel linguaggio di query del SIEM di CRYPTTECH * [AttackIQ](https://www.attackiq.com/2024/01/10/sigmaiq-attackiqs-latest-innovation-for-actionable-detections/) - Regole Sigma integrate nella piattaforma di AttackIQ, e [SigmAIQ](https://github.com/AttackIQ/SigmAIQ) per la conversione delle regole Sigma e app LLM * [Atomic Threat Coverage](https://github.com/atc-project/atomic-threat-coverage) - Mappa automaticamente le regole Sigma alle tecniche MITRE ATT&CK, ai test Atomic Red Team e ai playbook di incident response (da dicembre 2018) * [ATR (Agent Threat Rules)](https://github.com/Agent-Threat-Rule/agent-threat-rules) - Formato di regole di detection open source con licenza MIT per minacce alla sicurezza degli agenti AI (prompt injection, tool poisoning, context exfiltration). La CLI di riferimento esporta le regole ATR nel formato Sigma tramite `atr convert sigma`. * [AttackRuleMap](https://attackrulemap.com/) - Mappa le simulazioni di attacco Atomic Red Team alle regole di detection Sigma open source per la valutazione della copertura * [Confluent Sigma](https://github.com/confluentinc/confluent-sigma) - Regole Sigma supportate da Kafka Streams * [Detection Studio](https://detection.studio/?ref=sigmahq_readme) - Converte le regole Sigma in qualsiasi SIEM supportato * [Exeon.UEBA](https://exeon.com/ueba/) - Soluzione di User and Entity Behavior Analytics (UEBA) di Exeon che fornisce un motore di detection Sigma integrato * [IBM QRadar](https://community.ibm.com/community/user/security/blogs/gladys-koskas1/2023/08/02/qradar-natively-supports-sigma-for-rules-creation) - Acquisisce nativamente le regole Sigma per la detection in tempo reale tramite l'app YARA and Sigma Rules Manager * [Joe Sandbox](https://www.joesecurity.org/blog/8225577975210857708) - Piattaforma automatizzata di analisi malware che applica le regole Sigma durante l'esecuzione in sandbox per rilevare minacce nei log comportamentali * [LimaCharlie](https://limacharlie.io/) - Piattaforma cloud SecOps con supporto nativo alle regole Sigma e conversione automatica nel suo formato di regole Detection & Response * [MISP](http://www.misp-project.org/2017/03/26/MISP.2.4.70.released.html) - Piattaforma open source per la condivisione di threat intelligence con supporto nativo alle regole Sigma (dalla versione 2.4.70, marzo 2017) * [Nextron's Aurora Agent](https://www.nextron-systems.com/aurora/) - Agente EDR leggero basato su Sigma che utilizza ETW per la detection in tempo reale sugli endpoint * [Nextron's THOR Scanner](https://www.nextron-systems.com/thor/) - Scansiona con regole Sigma sugli endpoint * [RANK VASA](https://globenewswire.com/news-release/2019/03/04/1745907/0/en/RANK-Software-to-Help-MSSPs-Scale-Cybersecurity-Offerings.html) - Piattaforma di rilevamento delle minacce di rete basata su AI che utilizza le regole Sigma per identificare anomalie di sicurezza per gli MSSP * [Saeros](https://github.com/Saeros-Security/Saeros) - HIDS open source per Windows e Active Directory con matching locale delle regole Sigma tramite ETW * [Security Onion](https://docs.securityonion.net/en/3/main/sigma/) - Piattaforma open source di network security monitoring con detection Sigma integrata e aggiornamenti automatici giornalieri delle regole * [Sekoia.io XDR](https://www.sekoia.io) - XDR che supporta i linguaggi delle regole Sigma e Sigma Correlation * [sigma2stix](https://github.com/muchdogesec/sigma2stix) - Converte l'intero SigmaHQ Ruleset in oggetti STIX 2.1 * [SIΣGMA](https://github.com/3CORESec/SIEGMA) - Generatore consumabile da SIEM che utilizza Sigma per la conversione delle query * [SOC Prime](https://my.socprime.com/sigma/) - Marketplace di threat detection che ospita regole Sigma della comunità con traduzione per oltre 25 piattaforme SIEM, EDR e XDR * [TA-Sigma-Searches](https://github.com/dstaulcu/TA-Sigma-Searches) - App Splunk che fornisce saved search derivate da regole Sigma convertite * [TimeSketch](https://github.com/google/timesketch/commit/0c6c4b65a6c0f2051d074e87bbb2da2424fa6c35) - Strumento open source di analisi collaborativa di timeline forensi che utilizza le regole Sigma per etichettare e rilevare eventi * [Varpulis](https://varpulis-cep.com) - Motore di stream open source che esegue regole Sigma, incluse le regole di correlazione, su stream di eventi Kafka o NATS, valutati in event time * [VirusTotal](https://docs.virustotal.com/docs/crowdsourced-sigma-rules) - Ogni volta che un campione corrisponde a una qualsiasi regola Sigma open source, le regole corrispondenti vengono mostrate come parte del report del file * [ypsilon](https://github.com/P4T12ICK/ypsilon) - Test automatizzato dei casi d'uso ## 📜 Maintainer * [Nasreddine Bencherchali (@nas_bench)](https://x.com/nas_bench) * [Florian Roth (@cyb3rops)](https://x.com/cyb3rops) * [Christian Burkard (@phantinuss)](https://x.com/phantinuss) * [François Hubaut (@frack113)](https://x.com/frack113) * [Thomas Patzke (@blubbfiction)](https://x.com/blubbfiction) * [Mohamed Ashraf (@X__Junior)](https://x.com/X__Junior) * [Swachchhanda Shrawan Poudel (@\_swachchhanda\_)](https://x.com/_swachchhanda_) ## Crediti Questo progetto non avrebbe mai raggiunto questa portata senza l'aiuto delle centinaia di contributori. Grazie a tutti i contributori passati e presenti per il loro aiuto. ## Licenze Il contenuto di questo repository è rilasciato sotto la [Detection Rule License (DRL) 1.1](https://github.com/SigmaHQ/Detection-Rule-License).
