Bir Sigma kuralının parçaları

Sigma, log olayları için tespit kuralı yazma biçimidir. Bir kural hangi loga uygulandığını ve hangi alan değerlerini aradığını söyler. pySigma gibi araçlar aynı kuralı bir SIEM'in sorgu diline (Splunk, Microsoft Sentinel, QRadar, Elastic) çevirir; böylece kural bir kez yazılır, birden çok üründe kullanılır. Bu site kuralı doğrudan tarayıcınızdaki olaylar üzerinde çalıştırır.

Bir kural bir YAML belgesidir. İşe yarayan en küçük kuralın dört parçası vardır:

title: mshta started
logsource:
  product: windows
  category: process_creation
detection:
  selection:
    Image|endswith: '\mshta.exe'
  condition: selection

• title: kuralın neyi tespit ettiğinin kısa açıklaması.
• logsource: kuralın hangi olaylarla ilgili olduğu. product: windows ve category: process_creation, "Windows'ta bir süreç başlatıldı" demektir. Bu sitede bunlar Sysmon Event ID 1 kayıtlarıdır.
• detection: bir ya da daha fazla adlandırılmış arama (burada selection) ve bunları birleştiren bir condition. Bir arama, alan koşullarından oluşur; içindeki her koşul doğru olduğunda olayla eşleşir.
• condition: hangi aramaların eşleşmesi gerektiği. Tek arama varsa yalnızca onun adıdır.

Sigma deposunda yayımlanan kurallarda ayrıca id (kural düzenlense de değişmeyen bir UUID), status, description, author, date, references, tags, falsepositives ve level bulunur. Bunlar hangi olayların eşleştiğini değiştirmez; son ders bunları anlatıyor.

Alıştırmayı okumak

Editörün altındaki tablo alıştırmanın olaylarını gösterir: gerçek makinelerden birkaç düzine süreç başlangıcı. Bunların üçü bir saldırı simülasyonundaki mshta.exe başlangıçları; geri kalanı sıradan programlar. Kuralı çalıştır üçünden kaçının yakalandığını ve başka hangi olayların eşleştiğini gösterir. Eşleşen sıradan bir olay false positive'dir.