sigmahq/sigmaГлавный репозиторий правил Sigma
Добро пожаловать в основной репозиторий правил Sigma. Это место, где инженеры по обнаружению, охотники за угрозами и все специалисты по защитной безопасности совместно работают над правилами обнаружения. Репозиторий предлагает более 3000 правил обнаружения различных типов и стремится сделать надёжные методы обнаружения доступными для всех бесплатно.
В настоящее время репозиторий предлагает три типа правил:
Чтобы начать изучение экосистемы Sigma, посетите официальный сайт sigmahq.io
Sigma — это универсальный и открытый формат сигнатур, позволяющий описывать значимые события журналов простым и понятным способом. Формат правил очень гибкий, простой в написании и применимый к любому типу файлов журналов.
Основная цель этого проекта — предоставить структурированную форму, в которой исследователи или аналитики могут описать свои разработанные методы обнаружения и сделать их доступными для обмена с другими.
Sigma для файлов журналов — это то же, что Snort для сетевого трафика и YARA для файлов.
Сегодня все собирают данные журналов для анализа. Люди начинают работать самостоятельно, обрабатывая множество аналитических отчётов, постов в блогах и руководств по анализу журналов, извлекая необходимую информацию и создавая собственные поисковые запросы и дашборды. Некоторые из их поисковых запросов и корреляций отличные и очень полезные, но им не хватает стандартизированного формата, в котором они могли бы делиться своей работой с другими.
Другие предоставляют превосходный анализ, включают IOC и правила YARA для обнаружения вредоносных файлов и сетевых соединений, но не имеют способа описать конкретный или общий метод обнаружения в событиях журналов. Sigma призвана стать открытым стандартом, в котором такие механизмы обнаружения могут быть определены, распространены и собраны для улучшения возможностей обнаружения для всех.
Чтобы начать писать правила Sigma, ознакомьтесь со следующим руководством для начинающих вместе со спецификацией Sigma:
Обратитесь к руководству CONTRIBUTING для получения подробных инструкций о том, как вы можете начать вносить новые правила.
Вы можете скачать последние пакеты правил со страницы релизов и начать использовать правила Sigma уже сегодня. Новые правила также выпускаются регулярно, поэтому заходите почаще за последними обнаружениями.
Вы можете начать конвертировать правила Sigma уже сегодня, используя:
Чтобы интегрировать правила Sigma в свой собственный инструментарий или продукты, используйте pySigma.
Если вы обнаружили ложное срабатывание или хотите предложить идею нового правила обнаружения, но у вас нет времени на его создание, создайте новый issue в репозитории GitHub, выбрав один из доступных шаблонов.
Присоединяйтесь к сообществу Sigma в Discord, чтобы обсуждать инженерию обнаружения, задавать вопросы, делиться идеями и сотрудничать с другими практиками. Мы также используем Discord для объявлений о новых релизах и других обновлениях проекта.
