👯‍♀️Сигма, сигма… правила!

Sigma rule - это правила корреляции для обнаружения подозрительных или вредоносных событий в логах информационных систем, написанное в специальном унифицированном формате Sigma.

🔎 Sigma-правила описываются на языке YAML и состоят из структурированных блоков: метаинформации, источника логов (logsource) и условий детектирования (detection).

🖥 Главная особенность Sigma - независимость от конкретной SIEM-системы: одно правило можно автоматически конвертировать в запросы для разных SIEM-платформ (например, Splunk, Elastic, ArcSight), что облегчает обмен знаниями и ускоряет внедрение новых сценариев обнаружения угроз. Sigma-правила активно используются для автоматизации выявления атак и инцидентов информационной безопасности.

↔️ Благодаря независимости от конкретного продукта, Sigma-правила приняты за стандарт по обмену знаний и взаимодействию с другими специалистами по информационной безопасности (в частности, TI и IR специалистами) в области обнаружения кибератак. Некоторые из вендоры в своих отчетах по расследованию APT-группировках помимо индикаторов компрометации, описывают Sigma-правила для внедрения в свою инфраструктуру.

⤵️ Совсем скоро мы подробно окунемся в структуру Sigma-правил, а пока что в комментариях попробуйте угадать, в каком российском продукте используются Sigma-правила