SIGMA检测规则指南

SIGMA检测规则指南

SIGMA-detection-rulesSet of SIGMA rules (>320) mapped to MITRE Att@k tactic and techniques项目地址:https://gitcode.com/gh_mirrors/si/SIGMA-detection-rules

---

项目介绍

SIGMA（SIEM Generic Malware Artefacts）是由Matthieu Décrévoisier发起的一个开源项目，旨在提供一套通用的恶意软件活动检测规则。这些规则设计用于跨不同的日志源执行安全事件的检测，特别适合于SIEM（Security Information and Event Management）系统中。通过使用YAML格式定义规则，SIGMA使得安全分析师能够以一种平台无关的方式分享和实现威胁检测逻辑，极大地提高了事件响应的效率。

项目快速启动

要快速启动并开始使用SIGMA检测规则，你需要首先克隆项目仓库到本地：

git clone https://github.com/mdecrevoisier/SIGMA-detection-rules.git

接下来，确保你的环境中已安装必要的工具，如Elasticsearch或Logstash（如果你打算将规则应用于它们），以及SIGMA转换工具来适配特定的日志分析系统。例如，如果你想要测试规则在Elastic Stack上的效果，你可以使用sigsma工具转换规则：

pip install -U sigma
sigma convert rules/sigma/*.yml --es-7 > es_rules.json

这将会把SIGMA规则转换成Elasticsearch兼容的JSON格式，随后可以导入到Kibana中进行测试和部署。

应用案例和最佳实践

在实际应用中，SIGMA规则可以用来检测从简单的登录失败尝试到复杂的网络攻击活动等各种场景。一个典型的用例是利用SIGMA规则来监控异常的命令执行，例如检测潜在的 PowerShell 攻击：

title: 异常PowerShell使用
description: 检测到不常见的PowerShell使用模式，可能指示恶意活动。
references:
  - https://example.com/reference-to-powerhell-attacks
logsource:
  product: windows
  service: powershell
detection:
  selection:
    EventID: 4104
    CommandLine|contains: 'powershell.exe -nop'
  condition: selection
tags:
  - attack.execution

最佳实践中，应定期更新SIGMA规则集以保持与最新威胁趋势同步，并结合实际情况调整规则，避免误报和漏报。

典型生态项目

SIGMA社区活跃，支持多种日志处理和分析工具集成，比如：

• Elasticsearch & Kibana - 利用上述提到的转换工具可以直接应用规则。
• Splunk - 通过特定的转换脚本或第三方App支持SIGMA规则。
• Microsoft Sentinel - 可以通过自定义逻辑应用规则或通过Azure Functions间接支持。
• Logstash - 结合SIGMA转换器，直接作为过滤规则输入。

这些生态项目的集成使得SIGMA规则的应用范围广泛，适应不同组织的安全架构和需求。

---

此指南提供了快速上手SIGMA检测规则的基础知识，深入应用时请参考官方文档和社区资源，以获得更详尽的信息和支持。

SIGMA-detection-rulesSet of SIGMA rules (>320) mapped to MITRE Att@k tactic and techniques项目地址:https://gitcode.com/gh_mirrors/si/SIGMA-detection-rules