Cyber Security: Правила Sigma
Общая информация
Sigma — открытый формат описания правил обнаружения киберугроз на языке YAML. Правило можно преобразовать в запрос для разных SIEM-систем без переписывания логики обнаружения.
Структура правила Sigma
Sigma-правило содержит три обязательных блока:
- Метаданные — идентификатор, название, описание, автор, уровень критичности (Low/Medium/High/Critical), дата создания и теги (часто с привязкой к тактикам MITRE ATT&CK)
- Источник логов (Logsource) — указывает, к каким данным применяется правило: продукт (Windows, Linux), служба (Security, Sysmon) и другие характеристики
- Обнаружение (Detection) — содержит логику поиска атак: наборы условий (
selection) и условие их объединения (condition)
Пример простого Sigma-правила:
title: Security Eventlog Cleared
id: f2f01843-e7b8-4f95-a35a-d23584476423
description: Обнаружение очистки локального журнала Security
tags:
- attack.defense_evasion
- attack.t1070
logsource:
product: windows
service: security
detection:
selection:
EventID:
- 517
- 1102
condition: selection
level: high
Отличие от заданий Job Scheduler
В Job Scheduler пользователь вручную создает задания с активным действием для создания инцидентов.
Задание содержит SML-запрос, выполняемый в Smart Monitor. Sigma-правило описывает угрозу независимо от конкретной реализации. Оно не выполняется напрямую: система преобразует его логику в SML-запрос.
Главная страница
Раздел предназначен для импорта правил Sigma и их автоматического преобразования в задания по расписанию в модуле Job Scheduler.
На странице Правила Sigma отображается список правил, доступных в Smart Monitor.
Для просмотра правила нажмите на его название.
Импорт правил
Чтобы импортировать правило Sigma, нажмите Импортировать в правом верхнем углу.
Выберите файл правила в формате YAML.
После импорта правило Sigma появится в списке.
Автоматическое преобразование правила Sigma в поисковое задание
Чтобы создать поисковое задание из правила Sigma, нажмите Создать задание в окне просмотра правила или выберите эту команду в меню действий в списке правил.
В окне настройки преобразования укажите источник данных для поискового запроса и сопоставьте поля правила Sigma с полями выбранного источника.
После выбора источника и сопоставления полей нажмите Просмотр поискового запроса, чтобы проверить полученный SML-запрос.
В этом же окне можно включить автоматическое создание действия для создания инцидента в поисковом задании и добавление тегов из правила Sigma.
Нажмите Создать задание в правом нижнем углу. Откроется страница создания поискового задания с полями, заполненными на основе правила Sigma, и SML-запросом.
Заполните или измените необходимые поля и сохраните поисковое задание, чтобы завершить преобразование.