sigmahq/sigmaRepositório Principal de Regras Sigma
# Sigma - Formato de Assinatura Genérico para Sistemas SIEM <a href="https://sigmahq.io/"> <p align="center"> <br /> <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/sigma_logo_dark.png"> <img width="454" alt="Sigma Logo" src="https://assets.kitploit.com/production/public/readmes/4061/a2268079facd1d8e001de537016b6e45246b1c4454c18721b89ae1e6020b9fc0.png"> </picture> </p> </a> <br /> <p align="center"> <a href="https://github.com/SigmaHQ/sigma/actions?query=branch%3Amaster"><img src="https://github.com/SigmaHQ/sigma/actions/workflows/sigma-test.yml/badge.svg?branch=master" alt="Sigma Build Status"></a> <a href="https://sigmahq.io/"><img src="https://cdn.jsdelivr.net/gh/SigmaHQ/sigmahq.github.io@master/images/Sigma%20Official%20Badge.svg" alt="Sigma Official Badge"></a> <img alt="GitHub Repo stars" src="https://img.shields.io/github/stars/SigmaHQ/sigma"> <img alt="GitHub all releases" src="https://img.shields.io/github/downloads/SigmaHq/Sigma/total"> <br /> <a href="https://opensourcesecurityindex.io/" target="_blank" rel="noopener"> <img style="width: 170px;" src="https://opensourcesecurityindex.io/badge.svg" alt="Open Source Security Index - Fastest Growing Open Source Security Projects" width="170" /> </a> </p> Bem-vindo ao repositório principal de regras do Sigma. O local onde engenheiros de detecção, caçadores de ameaças e todos os profissionais de segurança defensiva colaboram em regras de detecção. O repositório oferece mais de 3000 regras de detecção de diferentes tipos e tem como objetivo tornar detecções confiáveis acessíveis a todos, sem custo. Atualmente o repositório oferece três tipos de regras: * [Regras de Detecção Genéricas](https://github.com/sigmahq/sigma/blob/master/rules) - São agnósticas em relação a ameaças, seu objetivo é detectar um comportamento ou uma implementação de uma técnica ou procedimento que foi, pode ou será usado por um potencial ator de ameaça. * [Regras de Caça a Ameaças](https://github.com/sigmahq/sigma/blob/master/rules-threat-hunting) - São mais amplas em escopo e destinam-se a dar ao analista um ponto de partida para caçar atividades potencialmente suspeitas ou maliciosas * [Regras de Ameaças Emergentes](https://github.com/sigmahq/sigma/blob/master/rules-emerging-threats) - São regras que cobrem ameaças específicas, que são oportunas e relevantes por determinados períodos de tempo. Essas ameaças incluem campanhas específicas de APT, exploração de vulnerabilidades Zero-Day, malware específico usado durante um ataque,...etc. * [Regras de Conformidade](https://github.com/sigmahq/sigma/blob/master/rules-compliance) - São regras que ajudam a identificar violações de conformidade com base em frameworks de segurança bem conhecidos, como CIS Controls, NIST, ISO 27001,...etc. * [Regras de Placeholder](https://github.com/sigmahq/sigma/blob/master/rules-placeholder) - São regras que obtêm seu significado final no momento de conversão ou uso da regra. ## Explore o Sigma Para começar a explorar o ecossistema Sigma, visite o site oficial [sigmahq.io](https://sigmahq.io) ### O que é o Sigma Sigma é um formato de assinatura genérico e aberto que permite descrever eventos de log relevantes de forma direta. O formato de regra é muito flexível, fácil de escrever e aplicável a qualquer tipo de arquivo de log. O principal objetivo deste projeto é fornecer uma forma estruturada na qual pesquisadores ou analistas possam descrever seus métodos de detecção já desenvolvidos e torná-los compartilháveis com outros. Sigma é para arquivos de log o que o [Snort](https://www.snort.org/) é para o tráfego de rede e o [YARA](https://github.com/VirusTotal/yara) é para arquivos. <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/Sigma_description_dark.png"> <img alt="Sigma Description - A diagram showing Yaml Files (Sigma Rules) moving through a Sigma Convertor, and coming out as many SIEM logos, showing how Sigma rules can be converted to many different available SIEM query languages" src="https://assets.kitploit.com/production/public/readmes/4061/df17fffca3b075c9a775bfd0e957f1151caf5089296d2321650051300994acb9.png"> </picture> ### Por que o Sigma Hoje, todos coletam dados de log para análise. As pessoas começam a trabalhar por conta própria, processando inúmeros white papers, posts de blog e diretrizes de análise de log, extraindo as informações necessárias e construindo suas próprias pesquisas e dashboards. Algumas de suas pesquisas e correlações são ótimas e muito úteis, mas carecem de um formato padronizado no qual possam compartilhar seu trabalho com outros. Outros fornecem análises excelentes, incluem IOCs e regras YARA para detectar os arquivos maliciosos e conexões de rede, mas não têm como descrever um método de detecção específico ou genérico em eventos de log. Sigma pretende ser um padrão aberto no qual tais mecanismos de detecção possam ser definidos, compartilhados e coletados a fim de melhorar as capacidades de detecção para todos. ### 🌟 Principais Recursos * Uma lista em constante crescimento de regras de detecção e caça, revisadas por pares por uma comunidade de Engenheiros de Detecção profissionais. * Regras de detecção agnósticas em relação a fornecedor. * Facilmente compartilháveis entre comunidades e relatórios ## 🏗️ Criação de Regras Para começar a escrever regras Sigma, consulte o seguinte guia de introdução juntamente com a especificação do sigma: * [Guia de Introdução](https://sigmahq.io/docs/guide/about.html) * [Especificação do Sigma](https://github.com/SigmaHQ/sigma-specification/blob/main/specification/sigma-rules-specification.md) ## 🔎 Contribuindo e Fazendo PRs Consulte o guia [CONTRIBUTING](https://github.com/sigmahq/sigma/blob/master/CONTRIBUTING.md) para instruções detalhadas sobre como você pode começar a contribuir com novas regras. ## 📦 Pacotes de Regras Você pode baixar os pacotes de regras mais recentes na [página de releases](https://github.com/SigmaHQ/sigma/releases/latest) e começar a aproveitar as regras Sigma hoje mesmo. Novas regras também são lançadas regularmente, então volte com frequência para conferir as detecções mais recentes. ## 🧬 Uso e Conversão de Regras * Você pode começar a converter regras Sigma hoje mesmo usando: * [Sigma CLI](https://github.com/SigmaHQ/sigma-cli) - o conversor oficial de linha de comando * [sigconverter.io](https://sigconverter.io) - conversor GUI baseado na web * [Detection Studio](https://detection.studio/) - conversor GUI baseado na web * Para integrar regras Sigma em sua própria cadeia de ferramentas ou produtos, use o [pySigma](https://github.com/SigmaHQ/pySigma). ## 🚨 Relatando Falsos Positivos ou Novas Ideias de Regras Se você encontrar um falso positivo ou quiser propor uma nova ideia de regra de detecção, mas não tiver tempo para criar uma, crie uma nova issue no [repositório do GitHub](https://github.com/SigmaHQ/sigma/issues/new/choose) selecionando um dos templates disponíveis. ## 💬 Comunidade Junte-se à comunidade Sigma no [Discord](https://discord.gg/CZhaX3ygdt) para discutir engenharia de detecção, fazer perguntas, compartilhar ideias e colaborar com outros profissionais. Também usamos o Discord para anúncios, como novos lançamentos e outras atualizações do projeto. ## 🌐 Recursos Oficiais * [sigmahq.io](https://sigmahq.io/) - Site oficial do Sigma * [SigmaHQ Blog](https://blog.sigmahq.io/) - Blog oficial cobrindo engenharia de detecção, lançamentos de regras e atualizações do Sigma * [Phoenix - Sigma Rule Intelligence Platform](https://sigma.nasbench.dev/) - Pesquise, analise e entenda regras Sigma mapeadas para o MITRE ATT&CK ## 📚 Recursos e Leitura Adicional * [Hack.lu 2017 Sigma - Generic Signatures for Log Events by Thomas Patzke](https://www.youtube.com/watch?v=OheVuE9Ifhs) * [Sigma - Generic Signatures for SIEM Systems by Florian Roth](https://www.slideshare.net/secret/gvgxeXoKblXRcA) * [50 Shades of Sigma by Florian Roth](https://www.slideshare.net/FlorianRoth2/50-shades-of-sigma) * [Introducing Sigma Specification v2.0 by Nasreddine Bencherchali](https://blog.sigmahq.io/introducing-sigma-specification-v2-0-25f81a926ff0) * [SIGMA-Resources - Curated list of resources to learn and understand Sigma rules](https://github.com/nasbench/SIGMA-Resources) * [The Ultimate Guide to Sigma Rules by Graylog](https://graylog.org/post/the-ultimate-guide-to-sigma-rules/) * [Introduction to Sigma Rules by Intezer](https://intezer.com/blog/threat-hunting/intro-to-sigma-rules/) ## Projetos ou Produtos que usam ou integram regras Sigma * [AlphaSOC](https://docs.alphasoc.com/detections_and_findings/sigma/introduction/) - Aproveita regras Sigma para aumentar a cobertura em todas as fontes de log suportadas * [alterix](https://github.com/mtnmunuklu/alterix) - Converte regras Sigma para a linguagem de consulta do SIEM da CRYPTTECH * [AttackIQ](https://www.attackiq.com/2024/01/10/sigmaiq-attackiqs-latest-innovation-for-actionable-detections/) - Regras Sigma integradas na plataforma da AttackIQ, e [SigmAIQ](https://github.com/AttackIQ/SigmAIQ) para conversão de regras Sigma e aplicações LLM * [Atomic Threat Coverage](https://github.com/atc-project/atomic-threat-coverage) - Mapeia automaticamente regras Sigma para técnicas do MITRE ATT&CK, testes do Atomic Red Team e playbooks de resposta a incidentes (desde dezembro de 2018) * [ATR (Agent Threat Rules)](https://github.com/Agent-Threat-Rule/agent-threat-rules) - Formato de regra de detecção aberto licenciado sob MIT para ameaças de segurança de agentes de IA (prompt injection, tool poisoning, context exfiltration). A CLI de referência exporta regras ATR para o formato Sigma via `atr convert sigma`. * [AttackRuleMap](https://attackrulemap.com/) - Mapeia simulações de ataque do Atomic Red Team para regras de detecção Sigma de código aberto para avaliação de cobertura * [Confluent Sigma](https://github.com/confluentinc/confluent-sigma) - Regras Sigma suportadas pelo Kafka Streams * [Detection Studio](https://detection.studio/?ref=sigmahq_readme) - Converte regras Sigma para qualquer SIEM suportado * [Exeon.UEBA](https://exeon.com/ueba/) - Solução de User and Entity Behavior Analytics (UEBA) da Exeon que fornece um mecanismo de detecção Sigma integrado * [IBM QRadar](https://community.ibm.com/community/user/security/blogs/gladys-koskas1/2023/08/02/qradar-natively-supports-sigma-for-rules-creation) - Ingere nativamente regras Sigma para detecção em tempo real através do aplicativo YARA and Sigma Rules Manager * [Joe Sandbox](https://www.joesecurity.org/blog/8225577975210857708) - Plataforma automatizada de análise de malware que aplica regras Sigma durante a execução em sandbox para detectar ameaças em logs comportamentais * [LimaCharlie](https://limacharlie.io/) - Plataforma de nuvem SecOps com suporte nativo a regras Sigma e conversão automática para seu formato de regra Detection & Response * [MISP](http://www.misp-project.org/2017/03/26/MISP.2.4.70.released.html) - Plataforma de compartilhamento de threat intelligence de código aberto com suporte nativo a regras Sigma (desde a versão 2.4.70, março de 2017) * [Nextron's Aurora Agent](https://www.nextron-systems.com/aurora/) - Agente EDR leve baseado em Sigma usando ETW para detecção de endpoint em tempo real * [Nextron's THOR Scanner](https://www.nextron-systems.com/thor/) - Escaneie com regras Sigma em endpoints * [RANK VASA](https://globenewswire.com/news-release/2019/03/04/1745907/0/en/RANK-Software-to-Help-MSSPs-Scale-Cybersecurity-Offerings.html) - Plataforma de detecção de ameaças de rede baseada em IA que usa regras Sigma para identificar anomalias de segurança para MSSPs * [Saeros](https://github.com/Saeros-Security/Saeros) - HIDS de código aberto para Windows e Active Directory com correspondência local de regras Sigma via ETW * [Security Onion](https://docs.securityonion.net/en/3/main/sigma/) - Plataforma de monitoramento de segurança de rede de código aberto com detecção Sigma integrada e atualizações automáticas diárias de regras * [Sekoia.io XDR](https://www.sekoia.io) - XDR com suporte às linguagens de regras Sigma e Sigma Correlation * [sigma2stix](https://github.com/muchdogesec/sigma2stix) - Converte todo o Ruleset do SigmaHQ em Objetos STIX 2.1 * [SIΣGMA](https://github.com/3CORESec/SIEGMA) - Gerador consumível por SIEM que utiliza Sigma para conversão de consultas * [SOC Prime](https://my.socprime.com/sigma/) - Marketplace de detecção de ameaças que hospeda regras Sigma da comunidade com tradução para mais de 25 plataformas SIEM, EDR e XDR * [TA-Sigma-Searches](https://github.com/dstaulcu/TA-Sigma-Searches) - Aplicativo Splunk que fornece pesquisas salvas derivadas de regras Sigma convertidas * [TimeSketch](https://github.com/google/timesketch/commit/0c6c4b65a6c0f2051d074e87bbb2da2424fa6c35) - Ferramenta colaborativa de análise de linha do tempo forense de código aberto que usa regras Sigma para marcar e detectar eventos * [Varpulis](https://varpulis-cep.com) - Mecanismo de stream de código aberto que executa regras Sigma, incluindo regras de correlação, em streams de eventos Kafka ou NATS, julgados em tempo de evento * [VirusTotal](https://docs.virustotal.com/docs/crowdsourced-sigma-rules) - Sempre que uma amostra corresponde a qualquer regra Sigma de código aberto, as regras correspondentes são exibidas como parte do relatório do arquivo * [ypsilon](https://github.com/P4T12ICK/ypsilon) - Teste Automatizado de Casos de Uso ## 📜 Mantenedores * [Nasreddine Bencherchali (@nas_bench)](https://x.com/nas_bench) * [Florian Roth (@cyb3rops)](https://x.com/cyb3rops) * [Christian Burkard (@phantinuss)](https://x.com/phantinuss) * [François Hubaut (@frack113)](https://x.com/frack113) * [Thomas Patzke (@blubbfiction)](https://x.com/blubbfiction) * [Mohamed Ashraf (@X__Junior)](https://x.com/X__Junior) * [Swachchhanda Shrawan Poudel (@\_swachchhanda\_)](https://x.com/_swachchhanda_) ## Créditos Este projeto nunca teria alcançado essa altura sem a ajuda das centenas de contribuidores. Obrigado a todos os contribuidores passados e presentes por sua ajuda. ## Licenças O conteúdo deste repositório é publicado sob a [Detection Rule License (DRL) 1.1](https://github.com/SigmaHQ/Detection-Rule-License).
