Автономный инструмент, написанный на Python, который позволяет использовать правила SIGMA для:
⏺️MS Windows EVTX - форматы EVTX, XML и JSONL (--evtx)
⏺️Журналы Auditd (--auditd)
⏺️Sysmon для Linux (--sysmon4linux)
⏺️Журналов в формате CSV и XML (--csv-input, --xml-input)
⏺️Журналов JSON Array (--json-array)
Ключевые особенности
1️⃣ Быстрая обработка и анализ больших массивов данных всего за несколько секунд.
2️⃣ Основана на серверной части SIGMA (SQLite) и не использует внутреннее преобразование SIGMA во что-либо другое.
3️⃣ Позволяет управлять входными журналами, разделяя поля и применяя преобразования, что обеспечивает более гибкий и мощный анализ журналов.
4️⃣ Экспорт результатов в несколько форматов с помощью шаблонов Jinja, включая JSON, CSV, JSONL, Splunk, Elastic, Zinc, Timesketch и др.
5️⃣ Поддержка Mini-GUI полностью в автономном режиме. Позволяет отображать результаты и выполнять по ним поиск через графический интерфейс.
Можно использовать Zircolite через Python или воспользоваться двоичными файлами, предоставленными в релизах.
git clone https://github.com/wagga40/Zircolite.git
cd Zircolite
pip3 install -r requirements.full.txt
💻 Основное использование
python3 zircolite.py --events <LOGS> --ruleset <RULESET>
--events — имя файла или каталог, содержащий журналы, которые для анализа.
--ruleset — файл или каталог, содержащий правила Sigma для использования при обнаружении. Zircolite использует собственный формат, в котором все правила находятся в одном файле JSON. Однако начиная с версии 2.20.0 Zircolite может напрямую использовать правила Sigma в формате YAML.
Можно указать несколько наборов правил, результаты могут быть по каждому набору правил или комбинированные (с помощью --combine-rulesets или -cr).
✏️ Наборы правил по умолчанию уже доступны в каталоге rules. Эти наборы правил представляют собой преобразование правил, находящихся в каталоге rules/windows репозитория Sigma. Следует учитывать, что некоторые правила дают много ложных срабатываний в зависимости от вашей среды или файла конфигурации, который вы использовали. Также некоторые правила могут выполняться очень медленно в зависимости от ваших журналов.
Начиная с версии 2.9.5, Zircolite может автоматически обновлять наборы правил по умолчанию с помощью --update-rules. Репозиторий автоматически обновляемых наборов правил доступен здесь.