Criando Regras de Detecção com Sigma

Quando Usar

Use esta habilidade quando:

• Engenheiros de SOC precisam criar regras de detecção portáteis entre múltiplas plataformas SIEM
• Relatórios de inteligência de ameaças descrevem TTPs que exigem nova cobertura de detecção
• Regras existentes específicas de fornecedores precisam ser padronizadas em um formato compartilhável
• A equipe adota Sigma como um padrão de detecção como código em pipelines CI/CD

Não use para detecção em tempo real de streaming (Sigma é para buscas em lote/agendadas) ou quando o SIEM de destino tiver recursos de detecção nativos que o Sigma não consegue expressar (por exemplo, pontuação de risco Splunk RBA).

Pré-requisitos

• Python 3.8+ com pySigma e backend apropriado (pySigma-backend-splunk, pySigma-backend-elasticsearch, pySigma-backend-microsoft365defender)
• Repositório de regras Sigma clonado: git clone https://github.com/SigmaHQ/sigma.git
• Conhecimento do framework MITRE ATT&CK para mapeamento de técnicas
• Compreensão dos mapeamentos de campos de origem de log do SIEM de destino

Fluxo de Trabalho

Passo 1: Definir Lógica de Detecção a partir de Inteligência de Ameaças

Comece com um relatório de ameaças ou técnica ATT&CK. Exemplo: detectar a extração de credenciais Mimikatz (T1003.001 — LSASS Memory):

title: Mimikatz Credential Dumping via LSASS Access
id: 0d894093-71bc-43c3-8d63-bf520e73a7c5
status: stable
level: high
description: Detects process accessing lsass.exe memory, indicative of credential dumping tools like Mimikatz
references:
    - https://attack.mitre.org/techniques/T1003/001/
    - https://github.com/gentilkiwi/mimikatz
author: mahipal
date: 2024/03/15
modified: 2024/03/15
tags:
    - attack.credential_access
    - attack.t1003.001
logsource:
    category: process_access
    product: windows
detection:
    selection:
        TargetImage|endswith: '\lsass.exe'
        GrantedAccess|contains:
            - '0x1010'
            - '0x1038'
            - '0x1fffff'
            - '0x40'
    filter_main_svchost:
        SourceImage|endswith: '\svchost.exe'
    filter_main_csrss:
        SourceImage|endswith: '\csrss.exe'
    filter_main_wininit:
        SourceImage|endswith: '\wininit.exe'
    condition: selection and not 1 of filter_main_*
falsepositives:
    - Legitimate security tools accessing LSASS
    - Windows Defender scanning
    - CrowdStrike Falcon sensor

Passo 2: Validar Sintaxe da Regra Sigma

Use sigma check para validar a regra:

# Install pySigma and validators
pip install pySigma pySigma-validators-sigmaHQ

# Validate rule
sigma check rule.yml

Alternativamente, valide com Python:

from sigma.rule import SigmaRule
from sigma.validators.core import SigmaValidator

rule = SigmaRule.from_yaml(open("rule.yml").read())
validator = SigmaValidator()
issues = validator.validate_rule(rule)
for issue in issues:
    print(f"{issue.severity}: {issue.message}")

Passo 3: Converter para Consulta do SIEM de Destino

Converter para Splunk SPL:

from sigma.rule import SigmaRule
from sigma.backends.splunk import SplunkBackend
from sigma.pipelines.splunk import splunk_windows_pipeline

pipeline = splunk_windows_pipeline()
backend = SplunkBackend(pipeline)

rule = SigmaRule.from_yaml(open("rule.yml").read())
splunk_query = backend.convert_rule(rule)
print(splunk_query[0])

Saída:

TargetImage="*\\lsass.exe" (GrantedAccess="*0x1010*" OR GrantedAccess="*0x1038*"
OR GrantedAccess="*0x1fffff*" OR GrantedAccess="*0x40*")
NOT (SourceImage="*\\svchost.exe") NOT (SourceImage="*\\csrss.exe")
NOT (SourceImage="*\\wininit.exe")

Converter para Elastic Query (Lucene):

from sigma.backends.elasticsearch import LuceneBackend
from sigma.pipelines.elasticsearch import ecs_windows_pipeline

pipeline = ecs_windows_pipeline()
backend = LuceneBackend(pipeline)
elastic_query = backend.convert_rule(rule)
print(elastic_query[0])

Converter para Microsoft Sentinel KQL:

from sigma.backends.microsoft365defender import Microsoft365DefenderBackend

backend = Microsoft365DefenderBackend()
kql_query = backend.convert_rule(rule)
print(kql_query[0])

Passo 4: Mapear para MITRE ATT&CK e Adicionar Metadados de Cobertura

Marque cada regra com IDs de técnica ATT&CK no campo tags:

tags:
    - attack.credential_access        # Tactic
    - attack.t1003.001                # Sub-technique
    - attack.t1003                    # Parent technique

Acompanhe a cobertura de detecção usando o ATT&CK Navigator:

import json

# Gerar camada do ATT&CK Navigator a partir de regras Sigma
layer = {
    "name": "Cobertura de Detecção SOC",

…