sigmahq/sigma메인 시그마 규칙 저장소
# Sigma - SIEM 시스템을 위한 범용 시그니처 형식 <a href="https://sigmahq.io/"> <p align="center"> <br /> <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/sigma_logo_dark.png"> <img width="454" alt="Sigma Logo" src="https://assets.kitploit.com/production/public/readmes/4061/a2268079facd1d8e001de537016b6e45246b1c4454c18721b89ae1e6020b9fc0.png"> </picture> </p> </a> <br /> <p align="center"> <a href="https://github.com/SigmaHQ/sigma/actions?query=branch%3Amaster"><img src="https://github.com/SigmaHQ/sigma/actions/workflows/sigma-test.yml/badge.svg?branch=master" alt="Sigma Build Status"></a> <a href="https://sigmahq.io/"><img src="https://cdn.jsdelivr.net/gh/SigmaHQ/sigmahq.github.io@master/images/Sigma%20Official%20Badge.svg" alt="Sigma Official Badge"></a> <img alt="GitHub Repo stars" src="https://img.shields.io/github/stars/SigmaHQ/sigma"> <img alt="GitHub all releases" src="https://img.shields.io/github/downloads/SigmaHq/Sigma/total"> <br /> <a href="https://opensourcesecurityindex.io/" target="_blank" rel="noopener"> <img style="width: 170px;" src="https://opensourcesecurityindex.io/badge.svg" alt="Open Source Security Index - Fastest Growing Open Source Security Projects" width="170" /> </a> </p> Sigma 메인 룰 저장소에 오신 것을 환영합니다. 탐지 엔지니어, 위협 헌터, 그리고 모든 방어 보안 실무자들이 탐지 룰을 함께 작업하는 공간입니다. 이 저장소는 다양한 유형의 3000개 이상의 탐지 룰을 제공하며, 신뢰할 수 있는 탐지를 누구나 무료로 이용할 수 있도록 하는 것을 목표로 합니다. 현재 저장소는 세 가지 유형의 룰을 제공합니다: * [일반 탐지 룰(Generic Detection Rules)](https://github.com/sigmahq/sigma/blob/master/rules) - 위협에 구애받지 않으며, 잠재적 위협 행위자가 사용했거나, 사용할 수 있거나, 사용할 행위 또는 기법이나 절차의 구현을 탐지하는 것을 목표로 합니다. * [위협 헌팅 룰(Threat Hunting Rules)](https://github.com/sigmahq/sigma/blob/master/rules-threat-hunting) - 범위가 더 넓으며, 분석가가 잠재적인 의심스럽거나 악의적인 활동을 헌팅할 수 있는 출발점을 제공하기 위한 것입니다. * [신종 위협 룰(Emerging Threat Rules)](https://github.com/sigmahq/sigma/blob/master/rules-emerging-threats) - 특정 위협을 다루는 룰로, 특정 기간 동안 시의적절하고 관련성이 있습니다. 이러한 위협에는 특정 APT 캠페인, 제로데이 취약점 악용, 공격 중 사용된 특정 악성코드 등이 포함됩니다. * [규정 준수 룰(Compliance Rules)](https://github.com/sigmahq/sigma/blob/master/rules-compliance) - CIS Controls, NIST, ISO 27001 등 잘 알려진 보안 프레임워크를 기반으로 규정 위반을 식별하는 데 도움이 되는 룰입니다. * [자리 표시자 룰(Placeholder Rules)](https://github.com/sigmahq/sigma/blob/master/rules-placeholder) - 룰의 변환 또는 사용 시점에 최종 의미를 갖게 되는 룰입니다. ## Sigma 살펴보기 Sigma 생태계를 살펴보려면 공식 웹사이트 [sigmahq.io](https://sigmahq.io)를 방문하세요. ### Sigma란 무엇인가 Sigma는 관련 로그 이벤트를 간단한 방식으로 설명할 수 있게 해주는 범용 오픈 시그니처 형식입니다. 이 룰 형식은 매우 유연하고 작성하기 쉬우며 모든 유형의 로그 파일에 적용할 수 있습니다. 이 프로젝트의 주된 목적은 연구자나 분석가가 한 번 개발한 탐지 방법을 설명하고 다른 사람들과 공유할 수 있는 구조화된 형식을 제공하는 것입니다. Sigma는 로그 파일에 대해 [Snort](https://www.snort.org/)가 네트워크 트래픽에 대해, [YARA](https://github.com/VirusTotal/yara)가 파일에 대해 하는 것과 같습니다. <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/Sigma_description_dark.png"> <img alt="Sigma Description - A diagram showing Yaml Files (Sigma Rules) moving through a Sigma Convertor, and coming out as many SIEM logos, showing how Sigma rules can be converted to many different available SIEM query languages" src="https://assets.kitploit.com/production/public/readmes/4061/df17fffca3b075c9a775bfd0e957f1151caf5089296d2321650051300994acb9.png"> </picture> ### 왜 Sigma인가 오늘날 모든 사람이 분석을 위해 로그 데이터를 수집합니다. 사람들은 스스로 작업을 시작하여 수많은 백서, 블로그 게시물, 로그 분석 가이드라인을 처리하고, 필요한 정보를 추출하여 자신만의 검색과 대시보드를 구축합니다. 그들의 검색과 상관관계 중 일부는 훌륭하고 매우 유용하지만, 다른 사람들과 작업을 공유할 수 있는 표준화된 형식이 부족합니다. 다른 이들은 악성 파일과 네트워크 연결을 탐지하기 위한 IOC와 YARA 룰을 포함한 뛰어난 분석을 제공하지만, 로그 이벤트에서 특정 또는 일반 탐지 방법을 설명할 방법이 없습니다. Sigma는 이러한 탐지 메커니즘을 정의하고, 공유하고, 수집하여 모든 사람의 탐지 역량을 향상시킬 수 있는 오픈 표준이 되고자 합니다. ### 🌟 주요 기능 * 전문 탐지 엔지니어 커뮤니티의 피어 리뷰를 거친, 지속적으로 성장하는 탐지 및 헌팅 룰 목록. * 벤더에 구애받지 않는 탐지 룰. * 커뮤니티와 보고서 전반에 걸쳐 쉽게 공유 가능. ## 🏗️ 룰 작성 Sigma 룰 작성을 시작하려면 다음 시작 가이드와 Sigma 명세를 확인하세요: * [시작 가이드](https://sigmahq.io/docs/guide/about.html) * [Sigma 명세](https://github.com/SigmaHQ/sigma-specification/blob/main/specification/sigma-rules-specification.md) ## 🔎 기여 및 PR 만들기 새로운 룰 기여를 시작하는 방법에 대한 자세한 지침은 [CONTRIBUTING](https://github.com/sigmahq/sigma/blob/master/CONTRIBUTING.md) 가이드를 참조하세요. ## 📦 룰 패키지 [릴리스 페이지](https://github.com/SigmaHQ/sigma/releases/latest)에서 최신 룰 패키지를 다운로드하여 오늘부터 Sigma 룰을 활용할 수 있습니다. 새로운 룰도 정기적으로 릴리스되므로 최신 탐지를 위해 자주 확인하세요. ## 🧬 룰 사용 및 변환 * 다음을 사용하여 오늘부터 Sigma 룰 변환을 시작할 수 있습니다: * [Sigma CLI](https://github.com/SigmaHQ/sigma-cli) - 공식 명령줄 변환기 * [sigconverter.io](https://sigconverter.io) - 웹 기반 GUI 변환기 * [Detection Studio](https://detection.studio/) - 웹 기반 GUI 변환기 * 자체 툴체인이나 제품에 Sigma 룰을 통합하려면 [pySigma](https://github.com/SigmaHQ/pySigma)를 사용하세요. ## 🚨 오탐 또는 새 룰 아이디어 보고 오탐을 발견했거나 새로운 탐지 룰 아이디어를 제안하고 싶지만 직접 만들 시간이 없다면, [GitHub 저장소](https://github.com/SigmaHQ/sigma/issues/new/choose)에서 사용 가능한 템플릿 중 하나를 선택하여 새 이슈를 생성해 주세요. ## 💬 커뮤니티 [Discord](https://discord.gg/CZhaX3ygdt)에서 Sigma 커뮤니티에 참여하여 탐지 엔지니어링에 대해 논의하고, 질문하고, 아이디어를 공유하고, 다른 실무자들과 협업하세요. 또한 새로운 릴리스 및 기타 프로젝트 업데이트와 같은 공지에도 Discord를 사용합니다. ## 🌐 공식 리소스 * [sigmahq.io](https://sigmahq.io/) - 공식 Sigma 웹사이트 * [SigmaHQ 블로그](https://blog.sigmahq.io/) - 탐지 엔지니어링, 룰 릴리스, Sigma 업데이트를 다루는 공식 블로그 * [Phoenix - Sigma 룰 인텔리전스 플랫폼](https://sigma.nasbench.dev/) - MITRE ATT&CK에 매핑된 Sigma 룰을 검색, 분석, 이해 ## 📚 리소스 및 추가 자료 * [Hack.lu 2017 Sigma - Generic Signatures for Log Events by Thomas Patzke](https://www.youtube.com/watch?v=OheVuE9Ifhs) * [Sigma - Generic Signatures for SIEM Systems by Florian Roth](https://www.slideshare.net/secret/gvgxeXoKblXRcA) * [50 Shades of Sigma by Florian Roth](https://www.slideshare.net/FlorianRoth2/50-shades-of-sigma) * [Introducing Sigma Specification v2.0 by Nasreddine Bencherchali](https://blog.sigmahq.io/introducing-sigma-specification-v2-0-25f81a926ff0) * [SIGMA-Resources - Sigma 룰을 배우고 이해하기 위한 큐레이션된 리소스 목록](https://github.com/nasbench/SIGMA-Resources) * [The Ultimate Guide to Sigma Rules by Graylog](https://graylog.org/post/the-ultimate-guide-to-sigma-rules/) * [Introduction to Sigma Rules by Intezer](https://intezer.com/blog/threat-hunting/intro-to-sigma-rules/) ## Sigma 룰을 사용하거나 통합하는 프로젝트 또는 제품 * [AlphaSOC](https://docs.alphasoc.com/detections_and_findings/sigma/introduction/) - Sigma 룰을 활용하여 지원되는 모든 로그 소스 전반의 커버리지를 향상 * [alterix](https://github.com/mtnmunuklu/alterix) - Sigma 룰을 CRYPTTECH의 SIEM 쿼리 언어로 변환 * [AttackIQ](https://www.attackiq.com/2024/01/10/sigmaiq-attackiqs-latest-innovation-for-actionable-detections/) - AttackIQ 플랫폼에 통합된 Sigma 룰, 그리고 Sigma 룰 변환 및 LLM 앱을 위한 [SigmAIQ](https://github.com/AttackIQ/SigmAIQ) * [Atomic Threat Coverage](https://github.com/atc-project/atomic-threat-coverage) - Sigma 룰을 MITRE ATT&CK 기법, Atomic Red Team 테스트, 사고 대응 플레이북에 자동으로 매핑 (2018년 12월부터) * [ATR (Agent Threat Rules)](https://github.com/Agent-Threat-Rule/agent-threat-rules) - AI 에이전트 보안 위협(프롬프트 인젝션, 도구 중독, 컨텍스트 유출)을 위한 MIT 라이선스 오픈 탐지 룰 형식. 참조 CLI는 `atr convert sigma`를 통해 ATR 룰을 Sigma 형식으로 내보냅니다. * [AttackRuleMap](https://attackrulemap.com/) - Atomic Red Team 공격 시뮬레이션을 오픈소스 Sigma 탐지 룰에 매핑하여 커버리지 평가 * [Confluent Sigma](https://github.com/confluentinc/confluent-sigma) - Kafka Streams가 지원하는 Sigma 룰 * [Detection Studio](https://detection.studio/?ref=sigmahq_readme) - Sigma 룰을 지원되는 모든 SIEM으로 변환 * [Exeon.UEBA](https://exeon.com/ueba/) - 내장 Sigma 탐지 엔진을 제공하는 Exeon의 사용자 및 엔터티 행위 분석(UEBA) 솔루션 * [IBM QRadar](https://community.ibm.com/community/user/security/blogs/gladys-koskas1/2023/08/02/qradar-natively-supports-sigma-for-rules-creation) - YARA and Sigma Rules Manager 앱을 통해 실시간 탐지를 위해 Sigma 룰을 기본적으로 수집 * [Joe Sandbox](https://www.joesecurity.org/blog/8225577975210857708) - 샌드박스 실행 중 Sigma 룰을 적용하여 행위 로그에서 위협을 탐지하는 자동 악성코드 분석 플랫폼 * [LimaCharlie](https://limacharlie.io/) - 기본 Sigma 룰 지원과 자체 Detection & Response 룰 형식으로의 자동 변환을 제공하는 SecOps 클라우드 플랫폼 * [MISP](http://www.misp-project.org/2017/03/26/MISP.2.4.70.released.html) - 기본 Sigma 룰 지원을 제공하는 오픈소스 위협 인텔리전스 공유 플랫폼 (버전 2.4.70, 2017년 3월부터) * [Nextron's Aurora Agent](https://www.nextron-systems.com/aurora/) - 실시간 엔드포인트 탐지를 위해 ETW를 사용하는 경량 Sigma 기반 EDR 에이전트 * [Nextron's THOR Scanner](https://www.nextron-systems.com/thor/) - 엔드포인트에서 Sigma 룰로 스캔 * [RANK VASA](https://globenewswire.com/news-release/2019/03/04/1745907/0/en/RANK-Software-to-Help-MSSPs-Scale-Cybersecurity-Offerings.html) - MSSP를 위해 Sigma 룰을 사용하여 보안 이상 징후를 식별하는 AI 기반 네트워크 위협 탐지 플랫폼 * [Saeros](https://github.com/Saeros-Security/Saeros) - ETW를 통한 로컬 Sigma 룰 매칭을 제공하는 Windows 및 Active Directory용 오픈소스 HIDS * [Security Onion](https://docs.securityonion.net/en/3/main/sigma/) - 내장 Sigma 탐지와 자동 일일 룰 업데이트를 제공하는 오픈소스 네트워크 보안 모니터링 플랫폼 * [Sekoia.io XDR](https://www.sekoia.io) - Sigma 및 Sigma Correlation 룰 언어를 지원하는 XDR * [sigma2stix](https://github.com/muchdogesec/sigma2stix) - 전체 SigmaHQ 룰셋을 STIX 2.1 객체로 변환 * [SIΣGMA](https://github.com/3CORESec/SIEGMA) - 쿼리 변환을 위해 Sigma를 활용하는 SIEM 소비 가능 생성기 * [SOC Prime](https://my.socprime.com/sigma/) - 25개 이상의 SIEM, EDR, XDR 플랫폼으로의 변환과 함께 커뮤니티 Sigma 룰을 호스팅하는 위협 탐지 마켓플레이스 * [TA-Sigma-Searches](https://github.com/dstaulcu/TA-Sigma-Searches) - 변환된 Sigma 룰에서 파생된 저장된 검색을 제공하는 Splunk 앱 * [TimeSketch](https://github.com/google/timesketch/commit/0c6c4b65a6c0f2051d074e87bbb2da2424fa6c35) - Sigma 룰을 사용하여 이벤트를 태그하고 탐지하는 오픈소스 협업 포렌식 타임라인 분석 도구 * [Varpulis](https://varpulis-cep.com) - 상관관계 룰을 포함한 Sigma 룰을 Kafka 또는 NATS 이벤트 스트림에서 이벤트 시간 기준으로 실행하는 오픈소스 스트림 엔진 * [VirusTotal](https://docs.virustotal.com/docs/crowdsourced-sigma-rules) - 샘플이 오픈소스 Sigma 룰과 일치할 때마다 일치하는 룰이 파일 보고서의 일부로 표시됩니다 * [ypsilon](https://github.com/P4T12ICK/ypsilon) - 자동화된 유스 케이스 테스트 ## 📜 유지관리자 * [Nasreddine Bencherchali (@nas_bench)](https://x.com/nas_bench) * [Florian Roth (@cyb3rops)](https://x.com/cyb3rops) * [Christian Burkard (@phantinuss)](https://x.com/phantinuss) * [François Hubaut (@frack113)](https://x.com/frack113) * [Thomas Patzke (@blubbfiction)](https://x.com/blubbfiction) * [Mohamed Ashraf (@X__Junior)](https://x.com/X__Junior) * [Swachchhanda Shrawan Poudel (@\_swachchhanda\_)](https://x.com/_swachchhanda_) ## 크레딧 이 프로젝트는 수백 명의 기여자의 도움 없이는 결코 이 높이에 도달하지 못했을 것입니다. 과거와 현재의 모든 기여자들의 도움에 감사드립니다. ## 라이선스 이 저장소의 콘텐츠는 [Detection Rule License (DRL) 1.1](https://github.com/SigmaHQ/Detection-Rule-License)에 따라 릴리스됩니다.
