Sigma - SIEMシステム向け汎用シグネチャフォーマット
Sigmaのメインルールリポジトリへようこそ。ここは検知エンジニア、脅威ハンター、そしてすべての防御セキュリティ実務者が協力して検知ルールを作成する場所です。このリポジトリには3000以上のさまざまなタイプの検知ルールが用意されており、信頼性の高い検知を誰でも無料で利用できるようにすることを目指しています。
現在、リポジトリでは次の3種類のルールを提供しています。
- 汎用検知ルール - 脅威に依存しないルールで、潜在的な脅威アクターによって使用された、使用できる、または使用されるであろう、振る舞いや技術・手順の実装を検知することを目的としています。
- 脅威ハンティングルール - より広い範囲を対象とし、アナリストが不審な活動や悪意のある活動をハンティングするための出発点となることを意図しています。
- 新興脅威ルール - 特定の脅威を対象とし、一定期間タイムリーかつ関連性のあるルールです。これらの脅威には、特定のAPTキャンペーン、ゼロデイ脆弱性の悪用、攻撃時に使用される特定のマルウェアなどが含まれます。
- コンプライアンスルール - CISコントロール、NIST、ISO 27001などのよく知られたセキュリティフレームワークに基づいて、コンプライアンス違反を特定するのに役立つルールです。
- プレースホルダールール - ルールの変換時や使用時に最終的な意味が決まるルールです。
Sigmaを探る
Sigmaエコシステムの探索を始めるには、公式ウェブサイトsigmahq.ioをご覧ください。
Sigmaとは
Sigmaは汎用的でオープンなシグネチャフォーマットであり、関連するログイベントを簡単に記述することができます。このルールフォーマットは非常に柔軟で、書きやすく、あらゆるタイプのログファイルに適用できます。
このプロジェクトの主な目的は、研究者やアナリストが一度開発した検知手法を構造化された形式で記述し、他の人と共有できるようにすることです。
Sigmaは、ログファイルにとって、Snortがネットワークトラフィックにとってそうであるように、YARAがファイルにとってそうであるような存在です。
Sigmaがなぜ必要なのか
今日、誰もが分析のためにログデータを収集しています。人々は各自で作業を始め、多数のホワイトペーパー、ブログ投稿、ログ分析ガイドラインを処理し、必要な情報を抽出して独自の検索やダッシュボードを構築しています。彼らの検索や相関の一部は素晴らしく非常に有用ですが、自分の作業を他の人と共有できる標準化された形式が欠けています。
他の人々は優れた分析を提供し、IOCやYARAルールを含めて悪意のあるファイルやネットワーク接続を検知しますが、ログイベントにおける特定のまたは汎用的な検知方法を記述する方法がありません。Sigmaは、そのような検知メカニズムを定義、共有、収集し、すべての人の検知能力を向上させるためのオープンスタンダードとなることを目的としています。
🌟 主な特徴
- プロの検知エンジニアのコミュニティによってピアレビューされた、継続的に増加する検知およびハンティングルールのリスト。
- ベンダーに依存しない検知ルール。
- コミュニティやレポート間で簡単に共有可能。
🏗️ ルールの作成
Sigmaルールの作成を始めるには、以下の入門ガイドとSigma仕様をご確認ください。
🔎 コントリビューションとプルリクエストの作成
新しいルールのコントリビューションを始める方法の詳細については、CONTRIBUTINGガイドを参照してください。
📦 ルールパッケージ
最新のルールパッケージはリリースページからダウンロードでき、今すぐSigmaルールを活用できます。新しいルールも定期的にリリースされていますので、最新の検知を定期的にチェックしてください。
🧬 ルールの使用と変換
🚨 誤検知の報告や新しいルールのアイデア
誤検知を見つけた場合、または新しい検知ルールのアイデアを提案したいが、作成する時間がない場合は、GitHubリポジトリで利用可能なテンプレートを選択して新しいイシューを作成してください。
💬 コミュニティ
SigmaコミュニティにDiscordで参加して、検知エンジニアリングについて話し合い、質問し、アイデアを共有し、他の実務者と協力しましょう。また、新しいリリースや他のプロジェクトアップデートなどのお知らせにもDiscordを使用しています。
🌐 公式リソース
📚 リソースと参考文献
Sigmaルールを使用または統合しているプロジェクトや製品
- AlphaSOC - サポートされているすべてのログソースにわたるカバレッジを向上させるためにSigmaルールを活用
- alterix - SigmaルールをCRYPTTECHのSIEMのクエリ言語に変換
- AttackIQ - AttackIQのプラットフォームに統合されたSigmaルール、およびSigmaルール変換とLLMアプリのためのSigmAIQ
- Atomic Threat Coverage - SigmaルールをMITRE ATT&CKテクニック、Atomic Red Teamテスト、インシデント対応プレイブックに自動マッピング（2018年12月以降）
- ATR (Agent Threat Rules) - AIエージェントセキュリティ脅威（プロンプトインジェクション、ツールポイズニング、コンテキスト漏洩）のためのオープンなMITライセンス検知ルールフォーマット。参照CLIは
atr convert sigmaを使用してATRルールをSigma形式にエクスポートします。
- AttackRuleMap - Atomic Red Team攻撃シミュレーションをオープンソースのSigma検知ルールにマッピングしてカバレッジを評価
- Confluent Sigma - Kafka StreamsでサポートされるSigmaルール
- Detection Studio - Sigmaルールをサポートされている任意のSIEMに変換
- Exeon.UEBA - Exeonのユーザーおよびエンティティ行動分析（UEBA）ソリューション。内蔵のSigma検知エンジンを提供
- IBM QRadar - YARAおよびSigmaルールマネージャーアプリを介してSigmaルールをネイティブに取り込み、リアルタイム検知を実現
- Joe Sandbox - 自動マルウェア分析プラットフォーム。サンドボックス実行中にSigmaルールを適用して行動ログ内の脅威を検出
- LimaCharlie - ネイティブのSigmaルールサポートと、その検知および応答ルール形式への自動変換を備えたSecOpsクラウドプラットフォーム
- MISP - ネイティブSigmaルールサポートを備えたオープンソースの脅威インテリジェンス共有プラットフォーム（バージョン2.4.70、2017年3月以降）
- Nextron's Aurora Agent - ETWを使用した軽量なSigmaベースのEDRエージェント。リアルタイムエンドポイント検知を実現
📜 メンテナー
クレジット
このプロジェクトは、何百ものコントリビューターの助けがなければ、これほどの高みに達することはなかったでしょう。過去および現在のすべてのコントリビューターに感謝します。
ライセンス
このリポジトリの内容は、Detection Rule License (DRL) 1.1の下で公開されています。
