Sigma - 用于 SIEM 系统的通用签名格式

GitHub Repo stars GitHub all releases

欢迎来到 Sigma 主规则仓库。这里是检测工程师、威胁猎手以及所有防御安全从业者协作制定检测规则的地方。该仓库提供超过 3000 条不同类型的检测规则，旨在让所有人都能免费获取可靠的检测能力。

目前该仓库提供以下几种类型的规则：

探索 Sigma

要开始探索 Sigma 生态系统，请访问官方网站 sigmahq.io

Sigma 是一种通用且开放的签名格式，允许以直观的方式描述相关日志事件。该规则格式非常灵活、易于编写，并且适用于任何类型的日志文件。

本项目的主要目的是提供一种结构化形式，使研究人员或分析师能够描述他们已开发的检测方法，并使其可与他人共享。

Sigma 之于日志文件，就如同 Snort 之于网络流量，YARA 之于文件。

如今，每个人都在收集日志数据用于分析。人们开始独立工作，处理大量白皮书、博客文章和日志分析指南，提取必要信息并构建自己的搜索和仪表板。他们的一些搜索和关联非常出色且实用，但缺乏一种标准化格式来与他人分享他们的工作。

另一些人提供了出色的分析，包含 IOC 和 YARA 规则以检测恶意文件和网络连接，但无法描述日志事件中的特定或通用检测方法。Sigma 旨在成为一种开放标准，使此类检测机制能够被定义、共享和收集，从而提升所有人的检测能力。

要开始编写 Sigma 规则，请查看以下入门指南以及 Sigma 规范：

请参阅 CONTRIBUTING 指南，了解如何开始贡献新规则的详细说明。

您可以从发布页面下载最新的规则包，立即开始利用 Sigma 规则。新规则也会定期发布，因此请经常回来查看最新的检测规则。

您可以立即开始使用以下工具转换 Sigma 规则：
- Sigma CLI - 官方命令行转换器
- sigconverter.io - 基于 Web 的图形界面转换器
- Detection Studio - 基于 Web 的图形界面转换器
要将 Sigma 规则集成到您自己的工具链或产品中，请使用 pySigma。

如果您发现误报，或想提出新的检测规则想法但没有时间创建，请在 GitHub 仓库上创建一个新 issue，选择其中一个可用模板。

加入 Discord 上的 Sigma 社区，讨论检测工程、提问、分享想法并与其他从业者协作。我们也使用 Discord 发布新版本和其他项目更新等公告。