Что это такое?
Sigma — это общий открытый формат для описания шаблонов обнаружения в событиях журналов, а этот репозиторий — основная коллекция из более чем 3000 правил обнаружения Sigma, написанных сообществом, для SIEM-систем.
Sigma — это общий открытый формат для описания шаблонов обнаружения в событиях журналов, а этот репозиторий — основная коллекция из более чем 3000 правил обнаружения Sigma, написанных сообществом, для SIEM-систем.Это готовый инструмент или просто набор файлов с правилами?Это исключительно набор текстовых файлов с правилами в формате Sigma, а не исполняемая программа. Чтобы превратить эти правила в реальные запросы для вашей SIEM, нужен отдельный конвертер.
Это исключительно набор текстовых файлов с правилами в формате Sigma, а не исполняемая программа. Чтобы превратить эти правила в реальные запросы для вашей SIEM, нужен отдельный конвертер.Как мне на самом деле использовать эти правила в своей SIEM?Скачайте последний пакет правил со страницы релизов, затем переведите правила на язык запросов вашей SIEM с помощью официального Sigma CLI, веб-интерфейса sigconverter.io или Detection Studio.
Скачайте последний пакет правил со страницы релизов, затем переведите правила на язык запросов вашей SIEM с помощью официального Sigma CLI, веб-интерфейса sigconverter.io или Detection Studio.Нужен ли мне отдельный конвертер, чтобы использовать правила?Да. Сами по себе правила Sigma нигде не работают; нужен Sigma CLI или библиотека pySigma, чтобы перевести их на родной язык запросов целевой платформы (Splunk, Elastic и т. д.).
Да. Сами по себе правила Sigma нигде не работают; нужен Sigma CLI или библиотека pySigma, чтобы перевести их на родной язык запросов целевой платформы (Splunk, Elastic и т. д.).Будут ли эти правила работать в моей SIEM сразу, без настройки?Нет, их всегда сначала нужно сконвертировать. Репозиторий содержит только независимые от поставщика описания правил, а поддержка конкретной платформы зависит от используемого отдельного конвертера или бэкенда.
Нет, их всегда сначала нужно сконвертировать. Репозиторий содержит только независимые от поставщика описания правил, а поддержка конкретной платформы зависит от используемого отдельного конвертера или бэкенда.Для кого предназначен этот репозиторий?Для инженеров по обнаружению угроз, охотников за угрозами и других специалистов по защите, которые хотят получить готовую логику обнаружения для своей SIEM или EDR, а не писать каждый поиск с нуля.
Для инженеров по обнаружению угроз, охотников за угрозами и других специалистов по защите, которые хотят получить готовую логику обнаружения для своей SIEM или EDR, а не писать каждый поиск с нуля.Как категоризированы правила?Правила делятся на общие правила обнаружения, правила для охоты за угрозами, правила для новых угроз (для конкретных кампаний APT или уязвимостей нулевого дня), правила соответствия требованиям (CIS, NIST, ISO 27001) и правила-заглушки, которые доводятся при конвертации.
Правила делятся на общие правила обнаружения, правила для охоты за угрозами, правила для новых угроз (для конкретных кампаний APT или уязвимостей нулевого дня), правила соответствия требованиям (CIS, NIST, ISO 27001) и правила-заглушки, которые доводятся при конвертации.С чем можно сравнить Sigma?В README Sigma описывается как аналог Snort для сетевого трафика или YARA для файлов в мире событий журналов — стандартизированный способ описывать и делиться логикой обнаружения.
В README Sigma описывается как аналог Snort для сетевого трафика или YARA для файлов в мире событий журналов — стандартизированный способ описывать и делиться логикой обнаружения.Какие продукты уже поддерживают правила Sigma без доработок?Такие инструменты, как IBM QRadar, MISP, Security Onion, TimeSketch, VirusTotal и Sekoia.io XDR, уже напрямую принимают или конвертируют правила Sigma для обнаружения угроз.
Такие инструменты, как IBM QRadar, MISP, Security Onion, TimeSketch, VirusTotal и Sekoia.io XDR, уже напрямую принимают или конвертируют правила Sigma для обнаружения угроз.What are similar projects?Anthropic-Cybersecurity-Skills, awesome-osint, awesome-threat-intelligence, wazuh, awesome-malware-analysis, artex-global, OSINT-Framework, awesome-hacker-search-engines
Anthropic-Cybersecurity-Skills, awesome-osint, awesome-threat-intelligence, wazuh, awesome-malware-analysis, artex-global, OSINT-Framework, awesome-hacker-search-enginesWhich topics is it in?threat-hunting, mitre-attack, threat-intelligence, infosec, elasticsearch, logging, cybersecurity, security-tools, monitoring, list, curated-list, resources
threat-hunting, mitre-attack, threat-intelligence, infosec, elasticsearch, logging, cybersecurity, security-tools, monitoring, list, curated-list, resources