agent:
  id: "${HOSTNAME}"

shipper:
  endpoint: "https://backend.example.com:8443/ingest"
  api_key: "${SANTAMON_API_KEY}"

santa:
  spool_dir: "/var/db/santa/spool"      # Santa 스풀 위치
  archive_dir: "/var/lib/santamon/spool_hits"  # 알림을 생성한 스풀 파일 보관
  stability_wait: "2s"                  # 새 파일 읽기 전 대기 시간

rules:
  path: "/etc/santamon/rules.yaml"      # 파일 또는 디렉토리

state:
  db_path: "/var/lib/santamon/state.db"
  sync_writes: true                     # 쓰기 후 Fsync (더 안전하지만 느림)

  first_seen:
    max_entries: 10000                  # 기준선 규칙용 LRU 캐시

  windows:
    max_events: 1000                    # 상관관계 윈도우당 최대 이벤트 수

shipper:
  batch_size: 100                       # 배치당 신호 수
  flush_interval: "30s"                 # 플러시 간격
  timeout: "10s"                        # HTTP 요청 타임아웃
  tls_skip_verify: false                # 프로덕션에서는 절대 true로 설정 금지

rules:
  - id: SM-014
    title: "비대화형 프로세스에서 curl/wget 호출"
    description: |
      터미널이 아니고 패키지 관리자도 아닌 프로세스가 curl 또는 wget을 실행.
    expr: |
      kind == "execution" &&
      event.execution.target.executable.path in ["/usr/bin/curl", "/usr/bin/wget"] &&

      // 대화형 셸 제외
      !(
        event.execution.instigator.executable.path.startsWith("/bin/bash") ||
        event.execution.instigator.executable.path.startsWith("/bin/zsh") ||
        event.execution.instigator.executable.path.startsWith("/bin/sh")
      ) &&

      // curl을 자주 사용하는 Homebrew / 패키지 관리자 도우미 제외
      !(
        event.execution.instigator.executable.path.startsWith("/opt/homebrew/") ||
        event.execution.instigator.executable.path.contains("/Homebrew/")
      )
    severity: high
    tags: ["T1105", "command-and-control"]
    extra_context: ["event.execution.args"]
    include_process_tree: true
    enabled: true

correlations:
  - id: SM-COR-001
    title: "여러 자격 증명 저장소에 접근하는 프로세스"
    description: "단일 프로세스가 5분 내에 3개 이상의 자격 증명 저장소에 접근."
    expr: |
      kind == "file_access" &&
      event.file_access.policy_name in [
        "ChromeCookies", "CometCookies", "SSHPrivateKeys",
        "BrowserPasswords", "KeychainDB"
      ]
    window: "5m"
    group_by: ["event.file_access.instigator.executable.path"]
    count_distinct: "event.file_access.policy_name"
    threshold: 3
    severity: critical
    tags: ["T1539", "T1552", "credential-access"]
    enabled: true

baselines:
  - id: SM-BASE-001
    title: "사용자 경로에서 처음 실행되는 서명되지 않은 바이너리"
    description: "서명되지 않은 바이너리가 /Users 경로에서 처음 실행됨."
    expr: |
      kind == "execution" &&
      event.execution.decision == DECISION_ALLOW &&
      event.execution.target.executable.path.startsWith("/Users/") &&
      (
        !has(event.execution.target.code_signature) ||
        !has(event.execution.target.code_signature.team_id) ||
        event.execution.target.code_signature.team_id == ""
      )
    track: ["event.execution.target.executable.cdhash"]
    learning_period: "720h"
    severity: high
    tags: ["T1204.002", "initial-access"]
    enabled: true