sigmahq/sigmaГлавный репозиторий правил Sigma
# Sigma — универсальный формат сигнатур для SIEM-систем <a href="https://sigmahq.io/"> <p align="center"> <br /> <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/sigma_logo_dark.png"> <img width="454" alt="Sigma Logo" src="https://assets.kitploit.com/production/public/readmes/4061/a2268079facd1d8e001de537016b6e45246b1c4454c18721b89ae1e6020b9fc0.png"> </picture> </p> </a> <br /> <p align="center"> <a href="https://github.com/SigmaHQ/sigma/actions?query=branch%3Amaster"><img src="https://github.com/SigmaHQ/sigma/actions/workflows/sigma-test.yml/badge.svg?branch=master" alt="Sigma Build Status"></a> <a href="https://sigmahq.io/"><img src="https://cdn.jsdelivr.net/gh/SigmaHQ/sigmahq.github.io@master/images/Sigma%20Official%20Badge.svg" alt="Sigma Official Badge"></a> <img alt="GitHub Repo stars" src="https://img.shields.io/github/stars/SigmaHQ/sigma"> <img alt="GitHub all releases" src="https://img.shields.io/github/downloads/SigmaHq/Sigma/total"> <br /> <a href="https://opensourcesecurityindex.io/" target="_blank" rel="noopener"> <img style="width: 170px;" src="https://opensourcesecurityindex.io/badge.svg" alt="Open Source Security Index - Fastest Growing Open Source Security Projects" width="170" /> </a> </p> Добро пожаловать в основной репозиторий правил Sigma. Это место, где инженеры по обнаружению, охотники за угрозами и все специалисты по защитной безопасности совместно работают над правилами обнаружения. Репозиторий предлагает более 3000 правил обнаружения различных типов и стремится сделать надёжные методы обнаружения доступными для всех бесплатно. В настоящее время репозиторий предлагает три типа правил: * [Общие правила обнаружения](https://github.com/sigmahq/sigma/blob/master/rules) — не привязаны к конкретным угрозам; их цель — обнаружить поведение или реализацию техники или процедуры, которая была, может или будет использоваться потенциальным субъектом угрозы. * [Правила охоты за угрозами](https://github.com/sigmahq/sigma/blob/master/rules-threat-hunting) — имеют более широкий охват и предназначены для того, чтобы дать аналитику отправную точку для поиска потенциально подозрительной или вредоносной активности * [Правила новых угроз](https://github.com/sigmahq/sigma/blob/master/rules-emerging-threats) — это правила, охватывающие конкретные угрозы, которые актуальны и значимы для определённых периодов времени. Эти угрозы включают конкретные кампании APT, эксплуатацию уязвимостей нулевого дня, конкретное вредоносное ПО, использовавшееся во время атаки, и т. д. * [Правила соответствия](https://github.com/sigmahq/sigma/blob/master/rules-compliance) — это правила, которые помогают выявлять нарушения соответствия на основе известных фреймворков безопасности, таких как CIS Controls, NIST, ISO 27001 и т. д. * [Правила-заполнители](https://github.com/sigmahq/sigma/blob/master/rules-placeholder) — это правила, которые приобретают окончательное значение во время конвертации или использования правила. ## Изучение Sigma Чтобы начать изучение экосистемы Sigma, посетите официальный сайт [sigmahq.io](https://sigmahq.io) ### Что такое Sigma Sigma — это универсальный и открытый формат сигнатур, позволяющий описывать значимые события журналов простым и понятным способом. Формат правил очень гибкий, простой в написании и применимый к любому типу файлов журналов. Основная цель этого проекта — предоставить структурированную форму, в которой исследователи или аналитики могут описать свои разработанные методы обнаружения и сделать их доступными для обмена с другими. Sigma для файлов журналов — это то же, что [Snort](https://www.snort.org/) для сетевого трафика и [YARA](https://github.com/VirusTotal/yara) для файлов. <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/Sigma_description_dark.png"> <img alt="Sigma Description - A diagram showing Yaml Files (Sigma Rules) moving through a Sigma Convertor, and coming out as many SIEM logos, showing how Sigma rules can be converted to many different available SIEM query languages" src="https://assets.kitploit.com/production/public/readmes/4061/df17fffca3b075c9a775bfd0e957f1151caf5089296d2321650051300994acb9.png"> </picture> ### Почему Sigma Сегодня все собирают данные журналов для анализа. Люди начинают работать самостоятельно, обрабатывая множество аналитических отчётов, постов в блогах и руководств по анализу журналов, извлекая необходимую информацию и создавая собственные поисковые запросы и дашборды. Некоторые из их поисковых запросов и корреляций отличные и очень полезные, но им не хватает стандартизированного формата, в котором они могли бы делиться своей работой с другими. Другие предоставляют превосходный анализ, включают IOC и правила YARA для обнаружения вредоносных файлов и сетевых соединений, но не имеют способа описать конкретный или общий метод обнаружения в событиях журналов. Sigma призвана стать открытым стандартом, в котором такие механизмы обнаружения могут быть определены, распространены и собраны для улучшения возможностей обнаружения для всех. ### 🌟 Ключевые особенности * Постоянно растущий список правил обнаружения и охоты, прошедших рецензирование сообществом профессиональных инженеров по обнаружению. * Правила обнаружения, не зависящие от производителя. * Легко распространяются между сообществами и в отчётах ## 🏗️ Создание правил Чтобы начать писать правила Sigma, ознакомьтесь со следующим руководством для начинающих вместе со спецификацией Sigma: * [Руководство для начинающих](https://sigmahq.io/docs/guide/about.html) * [Спецификация Sigma](https://github.com/SigmaHQ/sigma-specification/blob/main/specification/sigma-rules-specification.md) ## 🔎 Участие и создание PR Обратитесь к руководству [CONTRIBUTING](https://github.com/sigmahq/sigma/blob/master/CONTRIBUTING.md) для получения подробных инструкций о том, как вы можете начать вносить новые правила. ## 📦 Пакеты правил Вы можете скачать последние пакеты правил со [страницы релизов](https://github.com/SigmaHQ/sigma/releases/latest) и начать использовать правила Sigma уже сегодня. Новые правила также выпускаются регулярно, поэтому заходите почаще за последними обнаружениями. ## 🧬 Использование и конвертация правил * Вы можете начать конвертировать правила Sigma уже сегодня, используя: * [Sigma CLI](https://github.com/SigmaHQ/sigma-cli) — официальный конвертер командной строки * [sigconverter.io](https://sigconverter.io) — веб-конвертер с графическим интерфейсом * [Detection Studio](https://detection.studio/) — веб-конвертер с графическим интерфейсом * Чтобы интегрировать правила Sigma в свой собственный инструментарий или продукты, используйте [pySigma](https://github.com/SigmaHQ/pySigma). ## 🚨 Сообщение о ложных срабатываниях или новых идеях правил Если вы обнаружили ложное срабатывание или хотите предложить идею нового правила обнаружения, но у вас нет времени на его создание, создайте новый issue в [репозитории GitHub](https://github.com/SigmaHQ/sigma/issues/new/choose), выбрав один из доступных шаблонов. ## 💬 Сообщество Присоединяйтесь к сообществу Sigma в [Discord](https://discord.gg/CZhaX3ygdt), чтобы обсуждать инженерию обнаружения, задавать вопросы, делиться идеями и сотрудничать с другими практиками. Мы также используем Discord для объявлений о новых релизах и других обновлениях проекта. ## 🌐 Официальные ресурсы * [sigmahq.io](https://sigmahq.io/) — официальный сайт Sigma * [Блог SigmaHQ](https://blog.sigmahq.io/) — официальный блог, посвящённый инженерии обнаружения, выпускам правил и обновлениям Sigma * [Phoenix — платформа анализа правил Sigma](https://sigma.nasbench.dev/) — поиск, анализ и понимание правил Sigma, сопоставленных с MITRE ATT&CK ## 📚 Ресурсы и дополнительная литература * [Hack.lu 2017 Sigma — Generic Signatures for Log Events by Thomas Patzke](https://www.youtube.com/watch?v=OheVuE9Ifhs) * [Sigma — Generic Signatures for SIEM Systems by Florian Roth](https://www.slideshare.net/secret/gvgxeXoKblXRcA) * [50 Shades of Sigma by Florian Roth](https://www.slideshare.net/FlorianRoth2/50-shades-of-sigma) * [Introducing Sigma Specification v2.0 by Nasreddine Bencherchali](https://blog.sigmahq.io/introducing-sigma-specification-v2-0-25f81a926ff0) * [SIGMA-Resources — кураторский список ресурсов для изучения и понимания правил Sigma](https://github.com/nasbench/SIGMA-Resources) * [The Ultimate Guide to Sigma Rules by Graylog](https://graylog.org/post/the-ultimate-guide-to-sigma-rules/) * [Introduction to Sigma Rules by Intezer](https://intezer.com/blog/threat-hunting/intro-to-sigma-rules/) ## Проекты и продукты, использующие или интегрирующие правила Sigma * [AlphaSOC](https://docs.alphasoc.com/detections_and_findings/sigma/introduction/) — использует правила Sigma для повышения покрытия всех поддерживаемых источников журналов * [alterix](https://github.com/mtnmunuklu/alterix) — конвертирует правила Sigma в язык запросов SIEM от CRYPTTECH * [AttackIQ](https://www.attackiq.com/2024/01/10/sigmaiq-attackiqs-latest-innovation-for-actionable-detections/) — правила Sigma, интегрированные в платформу AttackIQ, и [SigmAIQ](https://github.com/AttackIQ/SigmAIQ) для конвертации правил Sigma и приложений LLM * [Atomic Threat Coverage](https://github.com/atc-project/atomic-threat-coverage) — автоматически сопоставляет правила Sigma с техниками MITRE ATT&CK, тестами Atomic Red Team и плейбуками реагирования на инциденты (с декабря 2018 года) * [ATR (Agent Threat Rules)](https://github.com/Agent-Threat-Rule/agent-threat-rules) — открытый формат правил обнаружения под лицензией MIT для угроз безопасности AI-агентов (prompt injection, tool poisoning, context exfiltration). Эталонный CLI экспортирует правила ATR в формат Sigma через `atr convert sigma`. * [AttackRuleMap](https://attackrulemap.com/) — сопоставляет симуляции атак Atomic Red Team с открытыми правилами обнаружения Sigma для оценки покрытия * [Confluent Sigma](https://github.com/confluentinc/confluent-sigma) — правила Sigma с поддержкой Kafka Streams * [Detection Studio](https://detection.studio/?ref=sigmahq_readme) — конвертирует правила Sigma в любой поддерживаемый SIEM * [Exeon.UEBA](https://exeon.com/ueba/) — решение для анализа поведения пользователей и сущностей (UEBA) от Exeon со встроенным движком обнаружения Sigma * [IBM QRadar](https://community.ibm.com/community/user/security/blogs/gladys-koskas1/2023/08/02/qradar-natively-supports-sigma-for-rules-creation) — нативно принимает правила Sigma для обнаружения в реальном времени через приложение YARA and Sigma Rules Manager * [Joe Sandbox](https://www.joesecurity.org/blog/8225577975210857708) — платформа автоматизированного анализа вредоносного ПО, применяющая правила Sigma во время выполнения в песочнице для обнаружения угроз в журналах поведения * [LimaCharlie](https://limacharlie.io/) — облачная платформа SecOps с нативной поддержкой правил Sigma и автоматической конвертацией в формат правил Detection & Response * [MISP](http://www.misp-project.org/2017/03/26/MISP.2.4.70.released.html) — открытая платформа обмена данными об угрозах с нативной поддержкой правил Sigma (начиная с версии 2.4.70, март 2017 года) * [Nextron's Aurora Agent](https://www.nextron-systems.com/aurora/) — лёгкий EDR-агент на основе Sigma, использующий ETW для обнаружения на конечных точках в реальном времени * [Nextron's THOR Scanner](https://www.nextron-systems.com/thor/) — сканирование конечных точек с помощью правил Sigma * [RANK VASA](https://globenewswire.com/news-release/2019/03/04/1745907/0/en/RANK-Software-to-Help-MSSPs-Scale-Cybersecurity-Offerings.html) — платформа обнаружения сетевых угроз на основе ИИ, использующая правила Sigma для выявления аномалий безопасности для MSSP * [Saeros](https://github.com/Saeros-Security/Saeros) — открытая HIDS для Windows и Active Directory с локальным сопоставлением правил Sigma через ETW * [Security Onion](https://docs.securityonion.net/en/3/main/sigma/) — открытая платформа мониторинга сетевой безопасности со встроенным обнаружением Sigma и автоматическим ежедневным обновлением правил * [Sekoia.io XDR](https://www.sekoia.io) — XDR с поддержкой языков правил Sigma и Sigma Correlation * [sigma2stix](https://github.com/muchdogesec/sigma2stix) — конвертирует весь набор правил SigmaHQ в объекты STIX 2.1 * [SIΣGMA](https://github.com/3CORESec/SIEGMA) — генератор запросов для SIEM, использующий Sigma для конвертации запросов * [SOC Prime](https://my.socprime.com/sigma/) — маркетплейс обнаружения угроз, размещающий правила Sigma сообщества с переводом на 25+ платформ SIEM, EDR и XDR * [TA-Sigma-Searches](https://github.com/dstaulcu/TA-Sigma-Searches) — приложение Splunk, предоставляющее сохранённые поисковые запросы, полученные из сконвертированных правил Sigma * [TimeSketch](https://github.com/google/timesketch/commit/0c6c4b65a6c0f2051d074e87bbb2da2424fa6c35) — открытый инструмент совместного анализа криминалистических временных шкал, использующий правила Sigma для тегирования и обнаружения событий * [Varpulis](https://varpulis-cep.com) — открытый потоковый движок, выполняющий правила Sigma, включая правила корреляции, на потоках событий Kafka или NATS с оценкой в событийном времени * [VirusTotal](https://docs.virustotal.com/docs/crowdsourced-sigma-rules) — когда образец соответствует любым открытым правилам Sigma, совпавшие правила отображаются в составе отчёта о файле * [ypsilon](https://github.com/P4T12ICK/ypsilon) — автоматизированное тестирование сценариев использования ## 📜 Сопровождающие * [Nasreddine Bencherchali (@nas_bench)](https://x.com/nas_bench) * [Florian Roth (@cyb3rops)](https://x.com/cyb3rops) * [Christian Burkard (@phantinuss)](https://x.com/phantinuss) * [François Hubaut (@frack113)](https://x.com/frack113) * [Thomas Patzke (@blubbfiction)](https://x.com/blubbfiction) * [Mohamed Ashraf (@X__Junior)](https://x.com/X__Junior) * [Swachchhanda Shrawan Poudel (@\_swachchhanda\_)](https://x.com/_swachchhanda_) ## Благодарности Этот проект никогда бы не достиг таких высот без помощи сотен участников. Спасибо всем прошлым и настоящим участникам за их помощь. ## Лицензии Содержимое этого репозитория выпущено под [Detection Rule License (DRL) 1.1](https://github.com/SigmaHQ/Detection-Rule-License).
