sigmahq/sigmaメイン Sigma Rule リポジトリ
# Sigma - SIEMシステム向け汎用シグネチャフォーマット <a href="https://sigmahq.io/"> <p align="center"> <br /> <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/sigma_logo_dark.png"> <img width="454" alt="Sigma Logo" src="https://assets.kitploit.com/production/public/readmes/4061/a2268079facd1d8e001de537016b6e45246b1c4454c18721b89ae1e6020b9fc0.png"> </picture> </p> </a> <br /> <p align="center"> <a href="https://github.com/SigmaHQ/sigma/actions?query=branch%3Amaster"><img src="https://github.com/SigmaHQ/sigma/actions/workflows/sigma-test.yml/badge.svg?branch=master" alt="Sigma Build Status"></a> <a href="https://sigmahq.io/"><img src="https://cdn.jsdelivr.net/gh/SigmaHQ/sigmahq.github.io@master/images/Sigma%20Official%20Badge.svg" alt="Sigma Official Badge"></a> <img alt="GitHub Repo stars" src="https://img.shields.io/github/stars/SigmaHQ/sigma"> <img alt="GitHub all releases" src="https://img.shields.io/github/downloads/SigmaHq/Sigma/total"> <br /> <a href="https://opensourcesecurityindex.io/" target="_blank" rel="noopener"> <img style="width: 170px;" src="https://opensourcesecurityindex.io/badge.svg" alt="Open Source Security Index - Fastest Growing Open Source Security Projects" width="170" /> </a> </p> Sigmaメインルールリポジトリへようこそ。ここは、検知エンジニア、脅威ハンター、そしてすべての防御側セキュリティ実務者が検知ルールについて協力する場所です。このリポジトリは、さまざまな種類の3000以上の検知ルールを提供し、信頼性の高い検知を誰もが無償で利用できるようにすることを目指しています。 現在、このリポジトリでは3種類のルールを提供しています: * [汎用検知ルール](https://github.com/sigmahq/sigma/blob/master/rules) - 脅威に依存せず、潜在的な脅威アクターによって使用された、使用され得る、または今後使用されるであろう技術や手順の動作または実装を検知することを目的としています。 * [脅威ハンティングルール](https://github.com/sigmahq/sigma/blob/master/rules-threat-hunting) - より広範な範囲を対象とし、アナリストが潜在的な疑わしい活動や悪意のある活動をハンティングするための出発点を提供することを目的としています * [新興脅威ルール](https://github.com/sigmahq/sigma/blob/master/rules-emerging-threats) - 特定の脅威を対象とし、特定の期間において時宜を得た関連性の高いルールです。これらの脅威には、特定のAPTキャンペーン、ゼロデイ脆弱性の悪用、攻撃中に使用された特定のマルウェアなどが含まれます。 * [コンプライアンスルール](https://github.com/sigmahq/sigma/blob/master/rules-compliance) - CIS Controls、NIST、ISO 27001など、よく知られたセキュリティフレームワークに基づいてコンプライアンス違反を特定するのに役立つルールです。 * [プレースホルダールール](https://github.com/sigmahq/sigma/blob/master/rules-placeholder) - ルールの変換時または使用時に最終的な意味が決まるルールです。 ## Sigmaを探索する Sigmaエコシステムの探索を始めるには、公式ウェブサイト [sigmahq.io](https://sigmahq.io) をご覧ください ### Sigmaとは Sigmaは、関連するログイベントを簡潔に記述できる汎用かつオープンなシグネチャフォーマットです。このルールフォーマットは非常に柔軟で、記述が容易であり、あらゆる種類のログファイルに適用できます。 このプロジェクトの主な目的は、研究者やアナリストが一度開発した検知手法を記述し、他者と共有可能にするための構造化された形式を提供することです。 Sigmaはログファイルにとって、[Snort](https://www.snort.org/)がネットワークトラフィックに対して、[YARA](https://github.com/VirusTotal/yara)がファイルに対して果たす役割と同じものです。 <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/Sigma_description_dark.png"> <img alt="Sigma Description - A diagram showing Yaml Files (Sigma Rules) moving through a Sigma Convertor, and coming out as many SIEM logos, showing how Sigma rules can be converted to many different available SIEM query languages" src="https://assets.kitploit.com/production/public/readmes/4061/df17fffca3b075c9a775bfd0e957f1151caf5089296d2321650051300994acb9.png"> </picture> ### なぜSigmaなのか 今日、誰もが分析のためにログデータを収集しています。人々は独自に作業を始め、多数のホワイトペーパー、ブログ記事、ログ分析ガイドラインを処理し、必要な情報を抽出して独自の検索やダッシュボードを構築しています。彼らの検索や相関の一部は優れており非常に有用ですが、その作業を他者と共有するための標準化されたフォーマットが欠けています。 また、優れた分析を提供し、悪意のあるファイルやネットワーク接続を検知するためのIOCやYARAルールを含めているものの、ログイベントにおける特定または汎用的な検知手法を記述する方法を持たない人々もいます。Sigmaは、そのような検知メカニズムを定義し、共有し、収集することで、すべての人の検知能力を向上させるためのオープン標準となることを目指しています。 ### 🌟 主な特徴 * 専門の検知エンジニアのコミュニティによってピアレビューされた、継続的に成長する検知およびハンティングルールのリスト。 * ベンダーに依存しない検知ルール。 * コミュニティやレポート間で簡単に共有可能 ## 🏗️ ルールの作成 Sigmaルールの記述を始めるには、以下の入門ガイドとSigma仕様を確認してください: * [入門ガイド](https://sigmahq.io/docs/guide/about.html) * [Sigma仕様](https://github.com/SigmaHQ/sigma-specification/blob/main/specification/sigma-rules-specification.md) ## 🔎 コントリビューションとPRの作成 新しいルールのコントリビューションを始める方法の詳細な手順については、[CONTRIBUTING](https://github.com/sigmahq/sigma/blob/master/CONTRIBUTING.md)ガイドを参照してください。 ## 📦 ルールパッケージ 最新のルールパッケージは[リリースページ](https://github.com/SigmaHQ/sigma/releases/latest)からダウンロードでき、今日からSigmaルールを活用できます。新しいルールも定期的にリリースされているので、最新の検知のために頻繁にチェックしてください。 ## 🧬 ルールの使用と変換 * 以下を使用して、今日からSigmaルールの変換を始められます: * [Sigma CLI](https://github.com/SigmaHQ/sigma-cli) - 公式のコマンドラインコンバーター * [sigconverter.io](https://sigconverter.io) - WebベースのGUIコンバーター * [Detection Studio](https://detection.studio/) - WebベースのGUIコンバーター * 独自のツールチェーンや製品にSigmaルールを統合するには、[pySigma](https://github.com/SigmaHQ/pySigma)を使用してください。 ## 🚨 誤検知または新しいルールアイデアの報告 誤検知を見つけた場合、または新しい検知ルールのアイデアを提案したいが作成する時間がない場合は、[GitHubリポジトリ](https://github.com/SigmaHQ/sigma/issues/new/choose)で利用可能なテンプレートのいずれかを選択して新しいIssueを作成してください。 ## 💬 コミュニティ [Discord](https://discord.gg/CZhaX3ygdt)でSigmaコミュニティに参加し、検知エンジニアリングについて議論したり、質問したり、アイデアを共有したり、他の実務者と協力したりしましょう。また、新リリースやその他のプロジェクト更新などのお知らせにもDiscordを使用しています。 ## 🌐 公式リソース * [sigmahq.io](https://sigmahq.io/) - Sigma公式ウェブサイト * [SigmaHQブログ](https://blog.sigmahq.io/) - 検知エンジニアリング、ルールリリース、Sigmaの更新を扱う公式ブログ * [Phoenix - Sigma Rule Intelligence Platform](https://sigma.nasbench.dev/) - MITRE ATT&CKにマッピングされたSigmaルールを検索、分析、理解する ## 📚 リソースと参考資料 * [Hack.lu 2017 Sigma - Generic Signatures for Log Events by Thomas Patzke](https://www.youtube.com/watch?v=OheVuE9Ifhs) * [Sigma - Generic Signatures for SIEM Systems by Florian Roth](https://www.slideshare.net/secret/gvgxeXoKblXRcA) * [50 Shades of Sigma by Florian Roth](https://www.slideshare.net/FlorianRoth2/50-shades-of-sigma) * [Introducing Sigma Specification v2.0 by Nasreddine Bencherchali](https://blog.sigmahq.io/introducing-sigma-specification-v2-0-25f81a926ff0) * [SIGMA-Resources - Sigmaルールを学び理解するための厳選されたリソース集](https://github.com/nasbench/SIGMA-Resources) * [The Ultimate Guide to Sigma Rules by Graylog](https://graylog.org/post/the-ultimate-guide-to-sigma-rules/) * [Introduction to Sigma Rules by Intezer](https://intezer.com/blog/threat-hunting/intro-to-sigma-rules/) ## Sigmaルールを使用または統合しているプロジェクトや製品 * [AlphaSOC](https://docs.alphasoc.com/detections_and_findings/sigma/introduction/) - Sigmaルールを活用して、サポートされているすべてのログソース全体でのカバレッジを向上 * [alterix](https://github.com/mtnmunuklu/alterix) - SigmaルールをCRYPTTECHのSIEMのクエリ言語に変換 * [AttackIQ](https://www.attackiq.com/2024/01/10/sigmaiq-attackiqs-latest-innovation-for-actionable-detections/) - AttackIQのプラットフォームに統合されたSigmaルール、およびSigmaルール変換とLLMアプリのための[SigmAIQ](https://github.com/AttackIQ/SigmAIQ) * [Atomic Threat Coverage](https://github.com/atc-project/atomic-threat-coverage) - SigmaルールをMITRE ATT&CK技術、Atomic Red Teamテスト、インシデントレスポンスプレイブックに自動マッピング(2018年12月以降) * [ATR (Agent Threat Rules)](https://github.com/Agent-Threat-Rule/agent-threat-rules) - AIエージェントのセキュリティ脅威(プロンプトインジェクション、ツールポイズニング、コンテキスト漏洩)向けのオープンなMITライセンスの検知ルールフォーマット。リファレンスCLIは`atr convert sigma`経由でATRルールをSigma形式にエクスポートします。 * [AttackRuleMap](https://attackrulemap.com/) - Atomic Red Teamの攻撃シミュレーションをオープンソースのSigma検知ルールにマッピングし、カバレッジを評価 * [Confluent Sigma](https://github.com/confluentinc/confluent-sigma) - Kafka StreamsがサポートするSigmaルール * [Detection Studio](https://detection.studio/?ref=sigmahq_readme) - Sigmaルールをサポートされている任意のSIEMに変換 * [Exeon.UEBA](https://exeon.com/ueba/) - 組み込みのSigma検知エンジンを提供するExeonのユーザーおよびエンティティ行動分析(UEBA)ソリューション * [IBM QRadar](https://community.ibm.com/community/user/security/blogs/gladys-koskas1/2023/08/02/qradar-natively-supports-sigma-for-rules-creation) - YARA and Sigma Rules Managerアプリ経由でリアルタイム検知のためにSigmaルールをネイティブに取り込み * [Joe Sandbox](https://www.joesecurity.org/blog/8225577975210857708) - サンドボックス実行中にSigmaルールを適用して行動ログ内の脅威を検知する自動マルウェア分析プラットフォーム * [LimaCharlie](https://limacharlie.io/) - ネイティブなSigmaルールサポートと、そのDetection & Responseルールフォーマットへの自動変換を備えたSecOpsクラウドプラットフォーム * [MISP](http://www.misp-project.org/2017/03/26/MISP.2.4.70.released.html) - ネイティブなSigmaルールサポートを備えたオープンソースの脅威インテリジェンス共有プラットフォーム(バージョン2.4.70、2017年3月以降) * [Nextron's Aurora Agent](https://www.nextron-systems.com/aurora/) - リアルタイムのエンドポイント検知のためにETWを使用する軽量なSigmaベースのEDRエージェント * [Nextron's THOR Scanner](https://www.nextron-systems.com/thor/) - エンドポイント上でSigmaルールを使ってスキャン * [RANK VASA](https://globenewswire.com/news-release/2019/03/04/1745907/0/en/RANK-Software-to-Help-MSSPs-Scale-Cybersecurity-Offerings.html) - MSSP向けにセキュリティ異常を特定するためにSigmaルールを使用するAIベースのネットワーク脅威検知プラットフォーム * [Saeros](https://github.com/Saeros-Security/Saeros) - ETW経由でローカルにSigmaルールをマッチングする、WindowsおよびActive Directory向けのオープンソースHIDS * [Security Onion](https://docs.securityonion.net/en/3/main/sigma/) - 組み込みのSigma検知と毎日の自動ルール更新を備えたオープンソースのネットワークセキュリティ監視プラットフォーム * [Sekoia.io XDR](https://www.sekoia.io) - SigmaおよびSigma Correlationルール言語をサポートするXDR * [sigma2stix](https://github.com/muchdogesec/sigma2stix) - SigmaHQルールセット全体をSTIX 2.1オブジェクトに変換 * [SIΣGMA](https://github.com/3CORESec/SIEGMA) - クエリ変換にSigmaを利用するSIEM向け生成ツール * [SOC Prime](https://my.socprime.com/sigma/) - コミュニティのSigmaルールをホストし、25以上のSIEM、EDR、XDRプラットフォームへの変換を提供する脅威検知マーケットプレイス * [TA-Sigma-Searches](https://github.com/dstaulcu/TA-Sigma-Searches) - 変換されたSigmaルールから派生した保存済み検索を提供するSplunkアプリ * [TimeSketch](https://github.com/google/timesketch/commit/0c6c4b65a6c0f2051d074e87bbb2da2424fa6c35) - Sigmaルールを使用してイベントをタグ付けおよび検知するオープンソースの協調フォレンジックタイムライン分析ツール * [Varpulis](https://varpulis-cep.com) - 相関ルールを含むSigmaルールをKafkaまたはNATSのイベントストリーム上でイベント時間で判定するオープンソースのストリームエンジン * [VirusTotal](https://docs.virustotal.com/docs/crowdsourced-sigma-rules) - サンプルがオープンソースのSigmaルールのいずれかにマッチするたびに、マッチしたルールがファイルレポートの一部として表示されます * [ypsilon](https://github.com/P4T12ICK/ypsilon) - 自動ユースケーステスト ## 📜 メンテナー * [Nasreddine Bencherchali (@nas_bench)](https://x.com/nas_bench) * [Florian Roth (@cyb3rops)](https://x.com/cyb3rops) * [Christian Burkard (@phantinuss)](https://x.com/phantinuss) * [François Hubaut (@frack113)](https://x.com/frack113) * [Thomas Patzke (@blubbfiction)](https://x.com/blubbfiction) * [Mohamed Ashraf (@X__Junior)](https://x.com/X__Junior) * [Swachchhanda Shrawan Poudel (@\_swachchhanda\_)](https://x.com/_swachchhanda_) ## クレジット このプロジェクトは、何百人ものコントリビューターの助けなしにはこれほどの高みに到達することはなかったでしょう。過去および現在のすべてのコントリビューターの支援に感謝します。 ## ライセンス このリポジトリのコンテンツは、[Detection Rule License (DRL) 1.1](https://github.com/SigmaHQ/Detection-Rule-License)の下で公開されています。
