Bir kuralı kullanıma hazırlamak

Doğru olaylarla eşleşen bir kural işin yarısıdır. Diğer yarısı, alarmı alan kişinin ve kuralı bir yıl sonra bakımını yapacak kişinin bilmesi gerekenlerdir. Sigma'da bunun için alanlar vardır; hiçbiri hangi olayların eşleştiğini değiştirmez.

title: mshta running inline script code
id: 7f3e2c9a-4b1d-4e8a-9c6f-2d5b8a1e0c47
status: test
description: Detects mshta.exe started with VBScript or JavaScript code on its command line.
references:
  - https://attack.mitre.org/techniques/T1218/005/
author: Your name
date: 2026-10-20
tags:
  - attack.defense-evasion
  - attack.t1218.005
falsepositives:
  - Legacy administration scripts that start mshta with inline script code
level: high

• id: bir kez üretilen rastgele bir UUID (sürüm 4). Başlık ya da tespit değiştiğinde aynı kalır; SIEM'deki alarmlar ve istisnalar aynı kuralı göstermeye devam eder.
• status: experimental (yeni, gürültülü olabilir), test (büyük ölçüde kararlı), stable (üretime hazır), deprecated, unsupported.
• description, references, author, date (YYYY-MM-DD), modified: kuralın ne hakkında olduğu ve nereden geldiği.
• tags: küçük harfle, ad alanlı etiketler. attack.t1218.005 ATT&CK tekniği, attack.defense-evasion taktiktir.
• falsepositives: eşleştiği bilinen normal etkinlik. Bir analistin ilk okuduğu yer burasıdır.
• level: informational, low, medium, high ya da critical. Sigma spesifikasyonu high'ı hızlı inceleme gerektiren olaylar, critical'ı ise olay olasılığının kesinliğe yaklaştığı durumlar için ayırır.

Yayına almadan önce

• Kuralı etkinliğin yaşandığı loglar üzerinde (yakalıyor mu) ve kendi ortamınızın normal logları üzerinde (ne sıklıkla tetikleniyor) çalıştırın. Bu sitedeki challenge'lar ilk iki adımdır; kendi SIEM'iniz üçüncüsü.
• Kuralı SIEM'inizin kullandığı çeviriciyle çevirin (örneğin pySigma üzerine kurulu sigma-cli aracının sigma convert komutu) ve ortaya çıkan sorguyu okuyun. Alan eşlemeleri ve desteklenmeyen modifier'lar YAML'de değil orada görünür.
• Bu sitenin değerlendiricisi Sigma'nın bir alt kümesini destekler. Anahtar kelime araması (alan adı olmayan değer listesi), korelasyon kuralları ve placeholder'lar burada desteklenmez; bunları kullanan bir kural farklı değerlendirilmek yerine bir mesajla reddedilir.