sigmahq/sigma主要Sigma规则库
# Sigma - 用于 SIEM 系统的通用签名格式 <a href="https://sigmahq.io/"> <p align="center"> <br /> <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/sigma_logo_dark.png"> <img width="454" alt="Sigma Logo" src="https://assets.kitploit.com/production/public/readmes/4061/a2268079facd1d8e001de537016b6e45246b1c4454c18721b89ae1e6020b9fc0.png"> </picture> </p> </a> <br /> <p align="center"> <a href="https://github.com/SigmaHQ/sigma/actions?query=branch%3Amaster"><img src="https://github.com/SigmaHQ/sigma/actions/workflows/sigma-test.yml/badge.svg?branch=master" alt="Sigma Build Status"></a> <a href="https://sigmahq.io/"><img src="https://cdn.jsdelivr.net/gh/SigmaHQ/sigmahq.github.io@master/images/Sigma%20Official%20Badge.svg" alt="Sigma Official Badge"></a> <img alt="GitHub Repo stars" src="https://img.shields.io/github/stars/SigmaHQ/sigma"> <img alt="GitHub all releases" src="https://img.shields.io/github/downloads/SigmaHq/Sigma/total"> <br /> <a href="https://opensourcesecurityindex.io/" target="_blank" rel="noopener"> <img style="width: 170px;" src="https://opensourcesecurityindex.io/badge.svg" alt="Open Source Security Index - Fastest Growing Open Source Security Projects" width="170" /> </a> </p> 欢迎来到 Sigma 主规则仓库。这里是检测工程师、威胁猎手以及所有防御安全从业者协作制定检测规则的地方。该仓库提供超过 3000 条不同类型的检测规则，旨在让所有人都能免费获取可靠的检测能力。 目前该仓库提供以下几种类型的规则： * [通用检测规则](https://github.com/sigmahq/sigma/blob/master/rules) - 与威胁无关，其目标是检测潜在威胁行为者曾经、可能或将会使用的某种行为或技术/过程实现。 * [威胁狩猎规则](https://github.com/sigmahq/sigma/blob/master/rules-threat-hunting) - 范围更广，旨在为分析师提供一个起点，以狩猎潜在的可疑或恶意活动 * [新兴威胁规则](https://github.com/sigmahq/sigma/blob/master/rules-emerging-threats) - 覆盖特定威胁的规则，这些威胁在特定时间段内具有时效性和相关性。这些威胁包括特定的 APT 活动、零日漏洞利用、攻击期间使用的特定恶意软件等。 * [合规规则](https://github.com/sigmahq/sigma/blob/master/rules-compliance) - 帮助您基于 CIS Controls、NIST、ISO 27001 等知名安全框架识别合规违规行为的规则。 * [占位符规则](https://github.com/sigmahq/sigma/blob/master/rules-placeholder) - 在规则转换或使用阶段才获得最终含义的规则。 ## 探索 Sigma 要开始探索 Sigma 生态系统，请访问官方网站 [sigmahq.io](https://sigmahq.io) ### 什么是 Sigma Sigma 是一种通用且开放的签名格式，允许以直观的方式描述相关日志事件。该规则格式非常灵活、易于编写，并且适用于任何类型的日志文件。 本项目的主要目的是提供一种结构化形式，使研究人员或分析师能够描述他们已开发的检测方法，并使其可与他人共享。 Sigma 之于日志文件，就如同 [Snort](https://www.snort.org/) 之于网络流量，[YARA](https://github.com/VirusTotal/yara) 之于文件。 <picture> <source media="(prefers-color-scheme: dark)" srcset="./images/Sigma_description_dark.png"> <img alt="Sigma Description - A diagram showing Yaml Files (Sigma Rules) moving through a Sigma Convertor, and coming out as many SIEM logos, showing how Sigma rules can be converted to many different available SIEM query languages" src="https://assets.kitploit.com/production/public/readmes/4061/df17fffca3b075c9a775bfd0e957f1151caf5089296d2321650051300994acb9.png"> </picture> ### 为什么选择 Sigma 如今，每个人都在收集日志数据用于分析。人们开始独立工作，处理大量白皮书、博客文章和日志分析指南，提取必要信息并构建自己的搜索和仪表板。他们的一些搜索和关联非常出色且实用，但缺乏一种标准化格式来与他人分享他们的工作。 另一些人提供了出色的分析，包含 IOC 和 YARA 规则以检测恶意文件和网络连接，但无法描述日志事件中的特定或通用检测方法。Sigma 旨在成为一种开放标准，使此类检测机制能够被定义、共享和收集，从而提升所有人的检测能力。 ### 🌟 核心特性 * 持续增长的检测和狩猎规则列表，由专业检测工程师社区进行同行评审。 * 厂商无关的检测规则。 * 易于在社区和报告之间共享 ## 🏗️ 规则创建 要开始编写 Sigma 规则，请查看以下入门指南以及 Sigma 规范： * [入门指南](https://sigmahq.io/docs/guide/about.html) * [Sigma 规范](https://github.com/SigmaHQ/sigma-specification/blob/main/specification/sigma-rules-specification.md) ## 🔎 贡献与提交 PR 请参阅 [CONTRIBUTING](https://github.com/sigmahq/sigma/blob/master/CONTRIBUTING.md) 指南，了解如何开始贡献新规则的详细说明。 ## 📦 规则包 您可以从[发布页面](https://github.com/SigmaHQ/sigma/releases/latest)下载最新的规则包，立即开始利用 Sigma 规则。新规则也会定期发布，因此请经常回来查看最新的检测规则。 ## 🧬 规则使用与转换 * 您可以立即开始使用以下工具转换 Sigma 规则： * [Sigma CLI](https://github.com/SigmaHQ/sigma-cli) - 官方命令行转换器 * [sigconverter.io](https://sigconverter.io) - 基于 Web 的图形界面转换器 * [Detection Studio](https://detection.studio/) - 基于 Web 的图形界面转换器 * 要将 Sigma 规则集成到您自己的工具链或产品中，请使用 [pySigma](https://github.com/SigmaHQ/pySigma)。 ## 🚨 报告误报或新规则想法 如果您发现误报，或想提出新的检测规则想法但没有时间创建，请在 [GitHub 仓库](https://github.com/SigmaHQ/sigma/issues/new/choose)上创建一个新 issue，选择其中一个可用模板。 ## 💬 社区 加入 [Discord](https://discord.gg/CZhaX3ygdt) 上的 Sigma 社区，讨论检测工程、提问、分享想法并与其他从业者协作。我们也使用 Discord 发布新版本和其他项目更新等公告。 ## 🌐 官方资源 * [sigmahq.io](https://sigmahq.io/) - Sigma 官方网站 * [SigmaHQ 博客](https://blog.sigmahq.io/) - 官方博客，涵盖检测工程、规则发布和 Sigma 更新 * [Phoenix - Sigma 规则情报平台](https://sigma.nasbench.dev/) - 搜索、分析并理解映射到 MITRE ATT&CK 的 Sigma 规则 ## 📚 资源与延伸阅读 * [Hack.lu 2017 Sigma - Generic Signatures for Log Events by Thomas Patzke](https://www.youtube.com/watch?v=OheVuE9Ifhs) * [Sigma - Generic Signatures for SIEM Systems by Florian Roth](https://www.slideshare.net/secret/gvgxeXoKblXRcA) * [50 Shades of Sigma by Florian Roth](https://www.slideshare.net/FlorianRoth2/50-shades-of-sigma) * [Introducing Sigma Specification v2.0 by Nasreddine Bencherchali](https://blog.sigmahq.io/introducing-sigma-specification-v2-0-25f81a926ff0) * [SIGMA-Resources - Curated list of resources to learn and understand Sigma rules](https://github.com/nasbench/SIGMA-Resources) * [The Ultimate Guide to Sigma Rules by Graylog](https://graylog.org/post/the-ultimate-guide-to-sigma-rules/) * [Introduction to Sigma Rules by Intezer](https://intezer.com/blog/threat-hunting/intro-to-sigma-rules/) ## 使用或集成 Sigma 规则的项目或产品 * [AlphaSOC](https://docs.alphasoc.com/detections_and_findings/sigma/introduction/) - 利用 Sigma 规则提高所有受支持日志源的覆盖范围 * [alterix](https://github.com/mtnmunuklu/alterix) - 将 Sigma 规则转换为 CRYPTTECH SIEM 的查询语言 * [AttackIQ](https://www.attackiq.com/2024/01/10/sigmaiq-attackiqs-latest-innovation-for-actionable-detections/) - Sigma 规则已集成到 AttackIQ 平台，以及用于 Sigma 规则转换和 LLM 应用的 [SigmAIQ](https://github.com/AttackIQ/SigmAIQ) * [Atomic Threat Coverage](https://github.com/atc-project/atomic-threat-coverage) - 自动将 Sigma 规则映射到 MITRE ATT&CK 技术、Atomic Red Team 测试和事件响应手册（自 2018 年 12 月起） * [ATR (Agent Threat Rules)](https://github.com/Agent-Threat-Rule/agent-threat-rules) - 面向 AI 代理安全威胁（提示注入、工具投毒、上下文泄露）的 MIT 许可开源检测规则格式。参考 CLI 通过 `atr convert sigma` 将 ATR 规则导出为 Sigma 格式。 * [AttackRuleMap](https://attackrulemap.com/) - 将 Atomic Red Team 攻击模拟映射到开源 Sigma 检测规则以进行覆盖评估 * [Confluent Sigma](https://github.com/confluentinc/confluent-sigma) - Kafka Streams 支持的 Sigma 规则 * [Detection Studio](https://detection.studio/?ref=sigmahq_readme) - 将 Sigma 规则转换为任何受支持的 SIEM * [Exeon.UEBA](https://exeon.com/ueba/) - 来自 Exeon 的用户和实体行为分析（UEBA）解决方案，提供内置的 Sigma 检测引擎 * [IBM QRadar](https://community.ibm.com/community/user/security/blogs/gladys-koskas1/2023/08/02/qradar-natively-supports-sigma-for-rules-creation) - 通过 YARA and Sigma Rules Manager 应用原生摄取 Sigma 规则以进行实时检测 * [Joe Sandbox](https://www.joesecurity.org/blog/8225577975210857708) - 自动化恶意软件分析平台，在沙箱执行期间应用 Sigma 规则以检测行为日志中的威胁 * [LimaCharlie](https://limacharlie.io/) - SecOps 云平台，原生支持 Sigma 规则并自动转换为其 Detection & Response 规则格式 * [MISP](http://www.misp-project.org/2017/03/26/MISP.2.4.70.released.html) - 开源威胁情报共享平台，原生支持 Sigma 规则（自 2.4.70 版本起，2017 年 3 月） * [Nextron's Aurora Agent](https://www.nextron-systems.com/aurora/) - 基于 Sigma 的轻量级 EDR 代理，使用 ETW 进行实时端点检测 * [Nextron's THOR Scanner](https://www.nextron-systems.com/thor/) - 在端点上使用 Sigma 规则进行扫描 * [RANK VASA](https://globenewswire.com/news-release/2019/03/04/1745907/0/en/RANK-Software-to-Help-MSSPs-Scale-Cybersecurity-Offerings.html) - 基于 AI 的网络威胁检测平台，使用 Sigma 规则为 MSSP 识别安全异常 * [Saeros](https://github.com/Saeros-Security/Saeros) - 面向 Windows 和 Active Directory 的开源 HIDS，通过 ETW 进行本地 Sigma 规则匹配 * [Security Onion](https://docs.securityonion.net/en/3/main/sigma/) - 开源网络安全监控平台，内置 Sigma 检测并每日自动更新规则 * [Sekoia.io XDR](https://www.sekoia.io) - 支持 Sigma 和 Sigma Correlation 规则语言的 XDR * [sigma2stix](https://github.com/muchdogesec/sigma2stix) - 将整个 SigmaHQ 规则集转换为 STIX 2.1 对象 * [SIΣGMA](https://github.com/3CORESec/SIEGMA) - 利用 Sigma 进行查询转换的 SIEM 可用生成器 * [SOC Prime](https://my.socprime.com/sigma/) - 威胁检测市场，托管社区 Sigma 规则并翻译为 25+ SIEM、EDR 和 XDR 平台 * [TA-Sigma-Searches](https://github.com/dstaulcu/TA-Sigma-Searches) - Splunk 应用，提供源自转换后 Sigma 规则的已保存搜索 * [TimeSketch](https://github.com/google/timesketch/commit/0c6c4b65a6c0f2051d074e87bbb2da2424fa6c35) - 开源协作取证时间线分析工具，使用 Sigma 规则标记和检测事件 * [Varpulis](https://varpulis-cep.com) - 开源流引擎，在 Kafka 或 NATS 事件流上运行 Sigma 规则（包括关联规则），按事件时间进行判定 * [VirusTotal](https://docs.virustotal.com/docs/crowdsourced-sigma-rules) - 每当样本匹配任何开源 Sigma 规则时，匹配的规则会作为文件报告的一部分显示 * [ypsilon](https://github.com/P4T12ICK/ypsilon) - 自动化用例测试 ## 📜 维护者 * [Nasreddine Bencherchali (@nas_bench)](https://x.com/nas_bench) * [Florian Roth (@cyb3rops)](https://x.com/cyb3rops) * [Christian Burkard (@phantinuss)](https://x.com/phantinuss) * [François Hubaut (@frack113)](https://x.com/frack113) * [Thomas Patzke (@blubbfiction)](https://x.com/blubbfiction) * [Mohamed Ashraf (@X__Junior)](https://x.com/X__Junior) * [Swachchhanda Shrawan Poudel (@\_swachchhanda\_)](https://x.com/_swachchhanda_) ## 致谢 如果没有数百位贡献者的帮助，这个项目永远不会达到今天的高度。感谢所有过去和现在的贡献者的帮助。 ## 许可证 本仓库的内容在 [Detection Rule License (DRL) 1.1](https://github.com/SigmaHQ/Detection-Rule-License) 下发布。
