Sigma дүрэм (Sigma Rules) Security Data Lake-д хэрхэн нэмэх, удирдах вэ?

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

Sigma бол лог шинжилгээгээр сэжигтэй эсвэл хортой үйлдлийг илрүүлэхэд ашигладаг нээлттэй, хүн уншихад ойлгомжтой дүрмийн формат юм. YAML хэлээр бичигдэж, ямар ч платформоос хамааралгүй байхаар бүтээгдсэн тул нэвтрэх оролдлого амжилтгүй болох, PowerShell-ийн ер бусын үйлдэл зэрэг түгээмэл халдлагын хэв маягийг тодорхойлж, янз бүрийн аюулгүй байдлын хэрэгсэл, лог системд хэрэглэх боломжтой.

Security Data Lake нь Sigma дүрмийг үйл явдал боловсруулах хөдөлгүүртээ шууд нэгтгэсэн тул ирж буй логийг аюул илрүүлэх дүрмийн өсөн нэмэгдэж буй сантай автоматаар тулгана. Ингэснээр бодит цагийн дохиолол, илүү хурдан хариу арга хэмжээ боломжтой болж, аюулын тагнуулын мэдээлэл бодит илрүүлэлт болон хувирна.

Баримтын энэ хэсэгт Sigma дүрэм, Sigma Correlation гэж юу болохыг, тэдгээрийг хэрхэн нэмэх, импортлох, тохируулахыг, мөн одоо байгаа дүрмийг хэрхэн удирдах, өөрчлөхийг тайлбарлана.

Sigma дүрэм ба Security Data Lake

Security Data Lake нь Sigma дүрэмтэй ажиллахад уян хатан байдлыг олгодог. Платформоос хамааралгүй тул Sigma дүрмийг өөрөө бичиж эсвэл нэмж, орчиндоо хэрэглэх боломжтой. Ингэснээр дүрмийг дахин ашиглах, байгууллага болон багуудын хооронд хуваалцахад хялбар.

Security Data Lake-д та дараахыг хийж чадна:

Дүрмийг SigmaHQ-ийн GitHub репозиторноос эсвэл дурын нийтийн Git репозиторноос шууд импортлох.
Дүрмийг өөрийн компьютерээс нэг нэгээр нь эсвэл бөөнөөр нь байршуулах.
Суурилагдсан YAML засварлагчаар дүрэм үүсгэх эсвэл өөрчлөх.
Одоо байгаа дүрмийг хувилж (clone), орчиндоо тааруулан өөрчлөх.
Гүйцэтгэлийг хуваарьлаж, дүрмийг тодорхой stream-тэй холбон зорилтот шинжилгээ хийх.
Олон дүрмийг хамааруулан (correlate) нарийн төвөгтэй эсвэл олон үе шаттай халдлагыг илрүүлэх.

Товч дүгнэлт

Дараах зүйлс энэ нийтлэлийн гол санааг нэгтгэн харуулна:

Security Data Lake нь нийтлэг YAML формат болох Sigma дүрэм болон Sigma Correlation-г дэмжиж, лог шинжилгээгээр аюулыг илрүүлдэг.
Дүрмийг SigmaHQ эсвэл дурын Git репозиторноос импортлох, дотооддоо байршуулах, эсвэл суурилагдсан YAML засварлагчаар үүсгэх, засах боломжтой.
Дүрэм бүр event definition-г автоматаар үүсгэх бөгөөд энэ нь бодит цагийн дохиолол, хариу арга хэмжээний урсгалыг идэвхжүүлнэ.
Sigma Correlation нь хугацааны явцад олон лог үйл явдалд тархсан хэв маягийг илрүүлж, илрүүлэх чадварыг өргөжүүлнэ.

Sigma дүрэм ба Correlation

Security Data Lake нь Sigma дээр суурилсан илрүүлэх логикийн хоёр төрлийг дэмждэг: Sigma дүрэм болон Sigma Correlation. Хоёр нь хамтдаа лог өгөгдлөөс сэжигтэй үйлдлийг нарийвчлалтай, гүнзгий илрүүлэх боломжийг олгоно.

Sigma дүрэм

Sigma дүрэм бол Sigma framework-ийн илрүүлэлтийн үндсэн нэгж юм. Тодорхой хэв маяг эсвэл нөхцөлд нийцэх логийг олоход зориулагдсан тул таны орчинд сэжигтэй үйлдэл байж болзошгүй тусгаарлагдсан үйл явдлыг илрүүлэхэд тохиромжтой. Жишээ нь нэвтрэх оролдлого амжилтгүй болох, мэдэгдэж буй хортой команд ажиллуулах, хязгаарлагдсан файлд хандах зэрэг.

Sigma Correlation

Correlation нь хугацааны явцад олон лог үйл явдлын хэв маягийг шинжилснээр Sigma-ийн чадамжийг өргөтгөдөг. Ганц үйл явдлаас тодорхой харагдахгүй, олон үе шаттай нарийн төвөгтэй халдлагыг илрүүлэхэд Correlation тохиромжтой. Холбогдох үйл явдлуудыг нэгтгэн нэг илрүүлэлт болгосноор нөхцөл байдал, хуримтлалыг шаарддаг үйлдлийг, тухайлбал brute-force оролдлого, эрхийн өргөтгөл (privilege escalation), сүлжээнд хажуугийн шилжилт (lateral movement)-ийг илрүүлнэ.

Security Data Lake нь Sigma 2.0 specification-ийн Correlation-ий гурван төрлийг дэмждэг:

`event_count` — Ижил эх үүсвэрээс давтагдсан үйл явдал; жишээ нь нэг IP хаягаас 10 удаа амжилтгүй нэвтрэх оролдлого.
`value_count` — Нэг талбарт хамаарах өөр өөр утгын тоо; тодорхой талбар (жишээ нь username эсвэл source IP) заасан хугацаанд олон өөр утгатай болоход идэвхжинэ; жишээ нь нэг хэрэглэгчийн данс 10 минутын дотор 5 өөр улсаас нэвтэрсэн тохиолдол.
`temporal_ordered` — Заасан хугацааны дотор тодорхой дарааллаар тохиолдсон үйл явдлын төрлүүдийн дараалал; жишээ нь хэрэглэгч антивирусыг идэвхгүй болгоод дараа нь ажиллуулах боломжтой файл татсан тохиолдол.

Sigma дүрэм үүсгэх эсвэл нэмэх

Дүрмийг YAML засварлагчаар гараар нэмэх, файл байршуулах, эсвэл Git репозиторноос импортлох боломжтой. Sigma дүрэм болон Sigma Correlation бүр харгалзах event definition-г автоматаар үүсгэдэг тул Security Data Lake-ийн дохиолол, автоматжуулалтын бүх боломжийг ашиглах боломжтой. Дэлгэрэнгүйг Sigma дүрэм үүсгэх эсвэл нэмэх хэсгээс үзнэ үү.

Sigma дүрэм үүсгэх эсвэл нэмэх

Тэмдэглэл: Дараах нийтлэл нь зөвхөн Security Data Lake Security-ийн боломж, функцэд хамаарна. Security Data Lake Security нь Security Data Lake төвлөрсөн лог удирдлагын платформын нэг хэсэг боловч тусдаа лиценз шаарддаг.

Security Data Lake нь нэг лог үйл явдлын тодорхой хэв маягийг илрүүлдэг Sigma дүрмийг, мөн холбоотой олон үйл явдлыг цаг хугацааны дагуу холбож нарийн төвөгтэй эсвэл шат дараатай үйлдлийг илрүүлдэг Sigma Correlation-г дэмждэг.

Энэ нийтлэлд Sigma дүрмийг Security Data Lake-д хэрхэн нэмэх, тухайлбал гараар нэмэх, нийтийн GitHub репозиторноос импортлох, эсвэл өөрийн компьютерээс байршуулахыг тайлбарлана. Мөн Sigma Correlation-г хэрхэн тохируулж, ашиглалтад оруулахыг тусгана.

Sigma дүрэм нэмэх аргууд

Security Data Lake-д Sigma дүрэм нэмэх гурван арга бий: гараар нэмэх, Sigma HQ Git репозитор гэх мэт нийтийн Git репозиторноос импортлох, эсвэл өөрийн компьютерээс шууд байршуулах.

Тэмдэглэл: Sigma дүрмийг Illuminate pack-аар дамжуулан бас идэвхжүүлж болно. Дэлгэрэнгүйг Security Data Lake Illuminate хэсгээс үзнэ үү.

Дүрмийг гараар нэмэх

Security Data Lake нь өөрийн интерфейс дотор тусгай дүрэм шууд үүсгэх боломжтой YAML засварлагчтай. Sigma дүрмийг гараар нэмэхийн тулд:

Security Data Lake дахь Security layout руу очно, эсвэл General layout дотор Security табыг дарна.

Sigma Rules > Rules руу очно.

Add Rules дээр дараад Manual Add-ийг сонгоно.

YAML засварлагч дээр Sigma дүрэм үүсгэнэ эсвэл буулгана.

Доорх талбаруудад шаардлагатай утгыг оруулна:

- Streams: Дүрэм зөв лог эх үүсвэрийг шалгахын тулд таны үйл явдлууд агуулагдаж буй stream-ийг оруулна (жишээ нь windows-security-logs эсвэл auth-logs).

- Stream Categories: Өргөн цар хүрээнд шүүх, ангилахад тусална.

- Notifications: Дохио өгөх үед и-мэйл, Slack мессеж эсвэл webhook хүлээн авахын тулд дүрмийг мэдэгдэлтэй холбож болно.

- Search Within: Үйл явдлыг үнэлэх хугацааны завсрыг заана.

- Use Cron Scheduling: Cron хуваарийг асаавал үйл явдлыг тогтсон цаг, өдөр, эсвэл интервалаар үе үе автоматаар ажиллуулна.

- Cron expression: Cron илэрхийлэл бол хоосон зайгаар тусгаарлагдсан талбаруудаас бүрдэх мөр юм. Security Data Lake нь Quartz cron syntax-ийг ашигладаг, жишээ нь:

<second> <minute> <hour> <day of month> <month> <day of week> <year>

- Execute Every: Дүрэм таарч байгаа эсэхийг шалгахын тулд 5 минут тутамд ажиллана. Шаардлагаар тохируулж болно.

- Search Filters: YAML-ийг өөрчлөхгүйгээр илүү нарийн тохируулахын тулд хайлтын шүүлтүүр нэмнэ (жишээ нь зөвхөн domain controller дээрх амжилтгүй оролдлогыг тоолох).

- Remediation Steps: Илэрсэн асуудлыг шийдэх тодорхой, хэрэгжүүлэх боломжтой зааврыг (текст утгаар) оруулна.

Add Rule дээр дарж дуусгана.

Шаардлагатай талбар дутуу (жишээ нь title) эсвэл талбарын төрөл буруу (жишээ нь string байх ёстой) бол хадгалж гарахаас өмнө засварлагч танд мэдэгдэнэ. Дэмжигдээгүй хайлтын modifier ашиглах эсвэл conditions талбарт aggregation оруулбал эдгээр нь дэмжигдэхгүй гэсэн мэдэгдэл ирнэ.

Одоогоор дэмжигдэж буй боломжууд, дүрмийн тодорхойлолт, Sigma specification-д шаардлагагүй ч Security Data Lake-д шаардлагатай талбарууд, дэмжигдээгүй нөхцөл ба modifier-ийг дэмжигдсэн Sigma дүрмийн modifier ба оператор-ын хэсгээс үзнэ үү.

Sigma дүрэм үүсгэхэд event definition мөн үүснэ. Учир нь үйл явдал зөв ажиллахын тулд ямар хугацааны завсарт, хэр олон удаа хайхыг тодорхойлох stream болон хайлтын цонх хэрэгтэй. Эдгээр сонголтыг засварлагчаас өөрчилж болно.

Нийтийн GitHub репозиторноос дүрэм импортлох

Git репозиторноос Sigma дүрэм импортлохын тулд эхлээд эх репозиторыг Security Data Lake-д нэмэх хэрэгтэй. Энэ жишээнд SigmaHQ-ийн нийтийн GitHub репозиторноос импортлоно.

SigmaHQ репозиторыг Security Data Lake-д нэмэх

Security Data Lake дахь Security layout руу очно.

Sigma Rules > Sigma Repos руу очно.

Add Repository товчийг дарна.

Репозиторын мэдээллийг бөглөнө:

- Name: Репозиторын давтагдахгүй нэр (жишээ нь SigmaHQ).
- Branch: Салбарыг заана, эсвэл үндсэнийг ашиглахын тулд хоосон орхино.
- Git Repo URI: Репозиторын URL (жишээ нь https://github.com/MyGitRepo/myrepo.git).
- Directories with rules: Дүрэмтэй хавтсуудыг заана, эсвэл репозиторыг бүхэлд нь шалгуулахын тулд хоосон орхино.

Confirm дээр дарна.

Security Data Lake репозитор дахь бүх .yml эсвэл .yaml файлыг шалгаж баталгаажуулна. Зөвхөн Sigma specification-д нийцсэн зөв форматтай, дэмжигдсэн дүрэм баталгаажиж, импортлоход бэлэн болно. .yml биш файлыг алгасна.

Нэмсэн репозиторын бүх Sigma дүрмийг импортлох эсвэл импортлох дүрмээ сонгоно. Репозитор нэмэгдсэний дараа Sigma Rules GIT Repos хуудсанд харагдана.

Та репозитор нэмэхэд Security Data Lake нь боломжит дүрмийн жагсаалтыг бүрдүүлэхийн тулд Git өгөгдлийг Security Data Lake сервер ажиллаж буй системийн дискэнд татаж авдаг. Үйлдэл дууссаны дараа файлуудыг устгана. Анхдагчаар файлуудыг түр хавтсанд хадгалдаг боловч системийн онцгой шаардлага эсвэл эрхийн хязгаарлалттай хэрэглэгчид өөр байршил сонгож болно. Security Data Lake серверийн тохиргооны файлд дүрмийн репозиторын байршилтай Sigma_git_repository_dir property нэмж хавтсыг өөрчилнө, жишээ нь Sigma_git_repository_dir=/etc/graylog/Sigma_data.

GitHub репозиторноос дүрэм импортлох

SigmaHQ GitHub төсөл гэх мэт нийтийн репозиторуудтай холбогдож, нийгмийн хамт олны хөтөлдөг дүрмийг ашиглаарай. Security Data Lake репозиторыг скан хийж, дэмжигдсэн дүрмийн файлыг баталгаажуулах бөгөөд та сонгон импортлох эсвэл бөөнөөр нь орчиндоо нэмж болно.

Репозитор нэмэгдсэний дараа:

Security Data Lake дахь Security layout руу очно.

Sigma Rules > Rules руу очно.

Add Rules товчийг дараад Import From Git-ийг сонгоно.

Гарч ирсэн цонхны боломжит репозиторуудаас SigmaHQ репозиторыг сонгоно.

SigmaHQ репозиторын дэд хавтсуудаас импортлох дүрмүүдээ олж сонгоно.

Import rules дээр дарна. Сонгосон дүрмүүд Security Data Lake-д импортлогдоно.

Мөн Sigma Repos таб руу очиж, сонгосон репозиторын баруун талд байх гурван цэг (ellipsis)-ийг дараад Import All сонголтоор репозиторын бүх дүрмийг импортолж болно.

Өөрийн компьютерээс байршуулах

Хэрэв Sigma дүрмүүд таны компьютерт хадгалагдсан эсвэл өөр системээс экспортолсон бол тэдгээрийг Security Data Lake-д шууд байршуулж болно.

Security Data Lake дахь Security layout руу очно.
Sigma Rules > Rules руу очно.
Add Rules товчийг дараад Upload Rules-ийг (өөрийн компьютерээс) сонгоно.
Sigma YAML файлуудыг нэг нэгээр нь эсвэл олон YAML файл агуулсан .zip файлуудыг байршуулна.
Upload rules дээр дарж дуусгана.

Regex ашигласан Sigma дүрэм үүсгэх

Regular expression (Regex) ашигласан Sigma дүрмийг бусад дүрмийн адил импортлох эсвэл үүсгэж, ижил байдлаар ашиглаж болно.

Тэмдэглэл: Regex-ээр бичсэн Sigma дүрэм Elasticsearch regular expression dialect-ийг мөрдөх ёстой.

Сонголтын талбарын нэрэнд Sigma-ийн re modifier нэмж дүрэм үүсгэвэл Security Data Lake дотоод хайлтыг Regex-ээр тайлж зохионо. Жишээ нь:

detection:
 selection:
 WorkstationName|re: '^[A-Za-z0-9]{16}$'
 condition: selection

Үр дүнд нь дотоод хайлт дараах байдалтай болно: WorkstationName: /[A-Za-z0-9]{16}/

SigmaHQ-ээс нийтлэгдсэн олон дүрэмд техникийн хувьд дэмжигдээгүй regular expression байдаг. Тиймээс Security Data Lake дараах хоёр тохиолдолд дүрмийг Elasticsearch Regex dialect руу хөрвүүлдэг:

Цифр: \d нь [0-9] болж хөрвөнө

Anchor: ^$ жишээ нь ^<regex>$

Elasticsearch syntax anchor тэмдэгтийг дэмждэггүй ч хайлтууд анхдагчаар anchor-тай байдаг. Security Data Lake дэмжигдээгүй anchor тэмдэгтийг хасаж, ижил үр дүнд хүрэхийн тулд wildcard нэмнэ.

1. ^<regex>$ нь <regex> болж хөрвөнө
2. ^<regex> нь <regex>.* болж хөрвөнө
3. <regex>$ нь .*<regex> болж хөрвөнө

Anchor-ийн талаар дэлгэрэнгүйг Elasticsearch documentation-оос үзнэ үү.

Тэмдэглэл: Дүрмийг Regex синтаксийн зөв эсэхийг шалгахгүйгээр үүсгэж болно. Ийм үед дүрэм амжилттай үүсэх ч хүссэн үр дүнд хүрэхгүй байж болзошгүй.

Regex-ийн жишээ

Sigma дүрэмд Regex-ийг хэрхэн ашиглах жишээ:

Нэг хортой программ \\Windows\\System32 хавтсанд найман тэмдэгт бүхий санамсаргүй нэртэй .tmp файл үүсгэдэг нь мэдэгдэж байна. \\Windows\\System32 directory хавтсанд үүссэн, нэр нь яг найман тэмдэгт бүхий .tmp файл бүрийн үүслийг илрүүлэхийг хүсч байна:

```
detection:
selection:
Image|endswith: '\\svchost.exe'
TargetFilename|re: '\\\\Windows\\\\System32\\\\[a-zA-Z0-9]{8}\\.tmp$'
condition: selection
```

PowerShell-ийг буруугаар ашиглаж буйн нэг шинж нь маш урт команд юм. 1000 ба түүнээс олон тэмдэгттэй PowerShell командыг илрүүлэхийг хүсч байна:

```
detection:
selection_powershell:
- CommandLine|contains:
- 'powershell'
- 'pwsh'
selection_length:
CommandLine|re: '.{1000,}'
condition: all of selection*
```

Sigma дүрмийг идэвхжүүлэх

Sigma Rules хуудаснаас нэмсэн Sigma дүрмүүдээ Enable товчийг асаах замаар идэвхжүүлнэ. Мөн Bulk Actions боломжоор Sigma дүрмийг бөөнөөр нь идэвхжүүлэх, идэвхгүй болгох, устгах боломжтой.

Sigma Correlation үүсгэх

Анхааруулга: Одоогоор Security Data Lake нь хамааралтай бүх дүрэм болон Correlation-ийг гурван зураасаар (---) тусгаарлан нэг .yml эсвэл .yaml файлд оруулсан multi-document файлын форматыг дэмждэггүй. Дүрэм бүрийг өөрийн YAML файлд нэмэх ёстой. Үүнтэй адил өөр өөр төрлийн үйл явдлын өөр өөр талбарыг нэгтгэхэд ашигладаг aliases талбарыг одоогоор дэмждэггүй.

Sigma дүрмээ үүсгэсний дараа Sigma Correlation тохируулж, олон үе шаттай эсвэл гинжин аюулт үйлдлийг илрүүлснээр илрүүлэлтийн хамрах хүрээгээ нэмэгдүүлж болно. Correlation нэмэх үйл явц нь энгийн Sigma дүрэм нэмэхтэй ижил алхмаар явагдана. Та гараар үүсгэх, нийтийн Git репозиторноос импортлох, эсвэл өөрийн компьютерээс байршуулж болно. Нэмсний дараа үйл явдлуудыг хугацаа, талбарын хамаарал, нийтлэг шинж чанараар хэрхэн холбохыг тодорхойлох correlation логикийг тохируулна.

event_count-аар үйл явдлыг хамааруулах

event_count эсвэл value_count Correlation ашиглах үед нэгтгэхэд хэрэглэгдэх Sigma дүрмийг идэвхжүүлэх шаардлагагүй. Энэ Correlation нь дүрмийг зөвхөн үндсэн хайлтын логикийг үүсгэхэд ашигладаг бөгөөд дүрэм идэвхтэй байх, үйл явдал үүсгэхээс хамаардаггүй.

Жишээлбэл, хэрэглэгчийн амжилтгүй олон удаагийн нэвтрэх оролдлогыг илрүүлэх event_count Correlation үүсгэхийн тулд эхлээд амжилтгүй нэвтрэх үйл явдлын хайлтын нөхцөлийг тодорхойлсон Sigma дүрэм үүсгэнэ.

Энэ шалгуурт нийцэх дүрэм дараах байдалтай харагдаж болно:

title: Many failed logins
id: 0e95725d-7320-415d-80f7-004da920fc22
correlation:
    type: event_count
    rules:
        - failed-logon-attempt
    group-by:
        - user_name
    timespan: 5m
    condition:
        gte: 5
level: high
status: experimental

Энэ дүрэм олон удаагийн амжилтгүй нэвтрэлтийг илрүүлэхэд зориулагдсан бөгөөд YAML-ийн бүтцийг дараах байдлаар тайлбарлана:

type: event_count

- Энэ параметр Sigma correlation дүрмийн төрлийг тодорхойлно.

rules: failed-logon-attempt

- Энэ нь урьдчилан тодорхойлсон detection Sigma дүрмийн нэр бөгөөд дүрмийн логикийн эх үүсвэр гэж ойлгож болно. Энэ бол Sigma дүрмийн "title" биш "name" талбар юм. Мөн энд дүрмийн "id"-г бас ашиглаж болно.

group-by: user_name

- Correlation хэрэглэгч тус бүрээр хязгаарлагдана. Security Data Lake хэрэглэгч тус бүрийн амжилтгүй оролдлогыг тоолно.

timespan: 5m

- Үйл явдлыг үнэлэх хугацааны цонх. Энэ жишээнд 5 минут.

condition: gte: 5

- Хэрэглэгч тус бүрийн 5 минутын цонхонд таарсан 5 ба түүнээс олон үйл явдал байвал дүрэм идэвхжинэ.

level болон status утгууд нь мета өгөгдөл бөгөөд шүүх, дүрмийг ойлгоход тустай.

Тэмдэглэл: Sigma Correlation дахь timespan параметр нь specification-д заавал байх ёстой. Харин Security Data Lake-д энэ нь заавал биш бөгөөд Search within талбарыг тохируулахад ашиглагддаггүй. Дүрэмд хугацаа заасан эсэхээс үл хамааран Correlation гүйцэтгэхэд Search within тохиргооны сонголтыг ашиглана.

temporal_ordered-аар үйл явдлыг хамааруулах

temporal_ordered Correlation ашиглахад маягт бага зэрэг өөр байдаг, учир нь stream болон хайлтын шүүлтүүр хамааралгүй. temporal_ordered дүрэм илэрвэл эдгээр хоёр талбарыг маягтаас хасна. temporal_ordered Correlation ашиглахад хамааралтай бүх дүрэм идэвхтэй байх ёстой, учир нь Correlation хөдөлгүүр дүрэм бүр үйл явдал үүсгэж чадсан тохиолдолд л ажилладаг.

Aliases дэмжигдэхгүй тул дарааллын бүх дүрэм ижил group-by талбар ашиглах ёстой. Group-by талбарыг Correlation хөдөлгүүр ижил талбарын үйл явдлыг холбох үйл явдлын түлхүүр болгон ашигладаг.

Та өгөгдөлдөө keyword эсвэл IP хаяг гэж индексжүүлсэн дурын талбараар үр дүнг бүлэглэж болно.

temporal_ordered-ийн жишээ

Нэг хэрэглэгчийн олон удаагийн амжилтгүй оролдлогын дараа шууд амжилттай нэвтэрсэн тохиолдлыг илрүүлэхийг хүсч байна гэж үзье. Үүний тулд хоёр Sigma дүрэм хэрэгтэй:

many-failed-logins: Нэг хэрэглэгч 5 минутын дотор 5 ба түүнээс олон удаа амжилтгүй нэвтэрсэнийг илрүүлнэ.

```
title: Many failed logins
name: many-failed-logins
id: 0e95725d-7320-415d-80f7-004da920fc22
correlation:
type: event_count
rules:
- failed-logon-attempt
group-by:
- user_name
timespan: 5m
condition:
gte: 5
level: high
status: experimental
```

successful-login: Тухайн хэрэглэгч амжилттай нэвтэрсэнийг илрүүлнэ.

```
title: Successful Login After 5 Failed Attempts
id: 0e95725d-beef-415d-80f7-004da920fc22
correlation:
type: temporal_ordered
rules:
- many-failed-logins
- successful-login
group-by:
- user_name
timespan: 1m
```

Дараа нь many-failed-logins болон successful-login дүрмийг хоёуланг нь иш татсан Successful Login After 5 Failed Attempts нэртэй temporal_ordered Correlation-г тохируулна. Энэ Correlation нь group-by талбараар user_name-ийг, timespan-аар 1 минутыг ашигладаг. Өөрөөр хэлбэл Correlation идэвхжихийн тулд амжилттай нэвтрэлт амжилтгүй оролдлогын дараа нэг минутын дотор болох ёстой.

title: Successful Login After 5 Failed Attempts
id: 0e95725d-beef-415d-80f7-004da920fc22
correlation:
    type: temporal_ordered
    rules:
        - many-failed-logins
        - successful-login
    group-by:
        - user_name
    timespan: 1m

Sigma дүрэмд дохио оноох

Sigma дүрмийн ажлын урсгал дотроос Sigma дүрэмд дохио (alert) оноож болно. Sigma дүрмийг засварлахад унадаг цэс бүхий Notifications талбар гарч ирнэ. Хэрэв та дохио тохируулсан бол Sigma дүрэм үүсгэх эсвэл засахад тэдгээр нь Notifications талбарт харагдана.

Дохиог бөөнөөр нэмэх

Нэг буюу хэд хэдэн дүрэм импортлохдоо мэдэгдлийн төрлөө сонгоод Use these settings on all rules товчийг дарснаар бүх дүрэмд дохионы төрлийг бөөнөөр нэмэх боломжтой. Эсвэл дүрэм тус бүрт мэдэгдлийг тусад нь сонгож болно.

Одоо байгаа дүрмүүдийн хувьд нэг буюу хэд хэдэн дүрмийг сонгоод Bulk Actions > Add Notification дээр дарна. Эндээс нэмэх мэдэгдлийн төрлүүдийг сонгоно.

Тэмдэглэл: Sigma дүрмийн мэдэгдлийг бөөнөөр нэмэх боломж нь зөвхөн нэмэх чанартай. Шинэ мэдэгдэл одоо байгаа мэдэгдлүүдэд нэмэгдэх бөгөөд дүрмүүдийн одоогийн мэдэгдлүүд хэвээр үлдэнэ.

Хайлтын шүүлтүүр ба Remediation Steps хэрэглэх

Sigma дүрэм үүсгэх эсвэл өөрчлөхдөө дүрэмд remediation steps тодорхойлох эсвэл хайлтын шүүлтүүр хэрэглэх сонголттой.

Remediation Steps хэрэглэх

Remediation steps-ийг (текст утгаар) event definition, Sigma дүрэм, anomaly detector-т тодорхойлж болно. Энэ нь дохио идэвхжихэд аюулгүй байдлын шинжээчид хэрэгжүүлэх үйлдлийг тодорхойлох боломжийг олгоно. Тодорхойлсон бол аюулгүй байдлын үйл явдал идэвхжихэд remediation steps тодоор харагдаж, дараа нь юу хийхийг чиглүүлнэ.

Дэлгэрэнгүйг Remediation Steps хэсгээс үзнэ үү.

Хайлтын шүүлтүүр хэрэглэх

Хайлтын шүүлтүүр нь хайлтын үр дүнг нарийсгахын тулд хайлтын хэсгүүдийг дахин ашиглах боломжийг олгоно. Event definition-д байнга оруулах эсвэл хасах шаардлагатай шинж чанар байвал тэдгээрийг хайлтын шүүлтүүр болгон үүсгэж, өөр өөр event definition-д хялбар хэрэглэж болно.

Жишээлбэл, та дотоод хэрэглэгчдийн IP хаягийн жагсаалттай байж болно. Зарим үйл явдалд энэ дотоод үйл ажиллагааг орхихыг хүсч магадгүй. Үүний тулд хайлтын шүүлтүүр үүсгээд event definition-д ашиглаж, тэдгээр хаягаас ирсэн бүх мессежийг хасч болно. Энэ хайлтыг хайлтын шүүлтүүр болгосноор өөр өөр event definition-д хялбар дахин ашиглах боломжтой.

Хайлтын шүүлтүүр үүсгэх, хэрэглэх талаар дэлгэрэнгүйг Search Filters хэсгээс үзнэ үү.

Дэмжигдсэн Sigma дүрмийн modifier ба оператор

Security Data Lake Illuminate нь SigmaHQ репозиторын Sigma дүрмүүдэд хамгийн түгээмэл байдаг талбаруудыг GIM талбар руу хөрвүүлдэг lookup хүснэгтийг агуулдаг. Энэ хөрвүүлэлтийн ачаар олон дүрэм Security Data Lake Illuminate боловсруулалтын системд саадгүй ажилладаг. Хэрэв та энэ lookup хүснэгтэд хөрвүүлэлт нэмэх эсвэл дарж бичих замаар тохируулахыг хүсвэл Sigma-аас GIM талбарын харгалзуулалтыг агуулсан баримт-ын зааврыг дагана уу.

Sigma дүрмийн хайлт гүйцэтгэх бүрд Sigma дүрмийн талбарууд энэ lookup хүснэгтээр хөрвүүлэгдэнэ. Хэрэв lookup хүснэгтэд тухайн талбарын утга байхгүй бол Sigma дүрмд заасан талбарыг ашиглана.

Бүрдэл хэсгүүд

Sigma specification-ийн шаардлага:

Title — шаардлагатай
Id — заавал биш
Related — заавал биш
Status — заавал биш
Description — заавал биш
Author — заавал биш
References — заавал биш
Log Source — шаардлагатай
Category — заавал биш
Product — заавал биш
Service — заавал биш
Definition — заавал биш
Detection — шаардлагатай
Search-Identifier — заавал биш
`{string-list}` — заавал биш
`{field: value}` — заавал биш
Timeframe — заавал биш
Condition — шаардлагатай
Fields — заавал биш
False Positives — заавал биш
Level — заавал биш
Tags — заавал биш
[arbitrary custom fields] — заавал биш

Талбарын тусгай утгууд

Одоогийн дэмжлэг:

`''` (хоосон утга) — дэмжигдэхгүй
`null` — дэмжигдэхгүй
Value Modifiers (утгын modifier)
`contains` — дэмжигдэнэ
`all` — дэмжигдэнэ
`base64` — дэмжигдэхгүй
`base64offset` — дэмжигдэхгүй
`endswith` — дэмжигдэнэ
`startswith` — дэмжигдэнэ
`utf16le` — дэмжигдэхгүй
`utf16be` — дэмжигдэхгүй
`wide` — дэмжигдэхгүй
`utf16` — дэмжигдэхгүй
`windash` — дэмжигдэхгүй
`re` — дэмжигдэнэ

Илэрхийллүүд

Одоогийн дэмжлэг:

Logical `AND/OR` — дэмжигдэнэ
`1/all` of search-identifier — дэмжигдэнэ
`1/all of them` — дэмжигдэхгүй
`1/all` of search-identifier-pattern — дэмжигдэнэ
Negation with `'not'` — дэмжигдэнэ
Brackets (хаалт) — дэмжигдэнэ
Wildcards (жишээ нь `selection`)** — дэмжигдэнэ
Pipe (хуучирсан) `|` — дэмжигдэхгүй
Aggregation expression (хуучирсан) — дэмжигдэхгүй
Near aggregation expression (хуучирсан) — дэмжигдэхгүй

Sigma дүрмийг удирдах

Sigma дүрэм болон Sigma Correlation нь лог үйл явдлыг мэдэгдэж буй халдлагын хэв маягтай тулган аюулыг илрүүлэхэд тусалдаг. Security Data Lake-д дүрэм нэмсний дараа Security Data Lake-ийн суурилагдсан хэрэгслээр дүрмээ удирдаж, хөтөлснөөр илрүүлэх логик тань эмх цэгцтэй, шинэчлэгдсэн, хяналтын стратегитайгаа нийцэж байна.

Энэ нийтлэл Security Data Lake дахь Sigma дүрэм болон репозиторыг удирдах талд төвлөрнө.

Дүрмийг удирдах

Импортолсон болон хэрэглэгчийн тодорхойлсон бүх Sigma дүрэм Sigma Rules хуудасны хүснэгтэд харагдана. Бичилт бүр дүрмийн тайлбар, ажиллагааны төлөв, тохиргооны параметр зэрэг гол мета өгөгдлийг агуулна. Enabled баганад дүрэм бүрийг идэвхжүүлэх, идэвхгүй болгох шилжүүлэгч байна.

Enabled: Дүрэм тодорхойлсон хуваарийнхаа дагуу ажиллана.
Disabled: Дүрэм идэвхгүй бөгөөд логийг үнэлэхгүй, дохио үүсгэхгүй.

Sigma дүрмээ удирдахын тулд:

Security Data Lake дахь Security layout руу очно.

Sigma Rules > Rules руу очно.

Сонгосон дүрмийн хажуугийн гурван цэг (⋯)-ийг дараад цэснээс хүссэн үйлдлээ сонгоно. Эндээс та дараахыг хийж болно:

- Лог хайх.
- Дүрмийн логик эсвэл тохиргоог засах.
- Дүрмийг хувилах.
- Дүрмийг татаж авах.
- Дүрэмтэй холбоотой event definition-г засах.

Лог хайх

Security Data Lake-д импортолсон Sigma дүрэм бүрийг хайлт болгон шууд ажиллуулж болно. Энэ үйлдэл дүрмийн логикоор хайлтын харагдац нээнэ. Нөхцөлд нийцсэн бодит цагийн болон түүхэн таарлыг хянахад тустай бөгөөд шинэ дүрэм бичих, одоо байгаа дүрмийг ойлгоход мөн тусална.

Тэмдэглэл: Тусдаа дүрмийн гүйцэтгэлийг турших бол Sigma дүрмийг идэвхжүүлэхээс өмнө Search Logs сонголтыг ашиглахыг зөвлөж байна.

Дүрмийг засах

Одоо байгаа дүрмийг өөрчлөхийн тулд:

Дүрмийн хажуугийн гурван цэг (⋯)-ийг дарна.

Цэснээс Edit-ийг сонгоно.

YAML тодорхойлолт, мета өгөгдөл, холбогдсон stream, гүйцэтгэлийн хуваарийг шинэчилнэ.

Save changes дээр дарж дүрмийг шинэчилнэ.

> Тэмдэглэл: Illuminate pack-ийн Sigma дүрмүүд дүрмийн логик болон тохиргоогоо content pack-аас авдаг тул эдгээр дүрэмд зөвхөн мэдэгдэл болон шүүлтүүр нэмж болох бөгөөд дүрмийн логикийг өөрчилж болохгүй.

Дүрмийг хувилах

Одоо байгаа дүрмийн хувилбар үүсгэхийг хүсвэл:

Дүрмийн хажуугийн гурван цэг (⋯)-ийг дарна.
Цэснээс Clone-ийг сонгоно.
Хувилсан дүрмийн агуулгыг өөрчилж өөрт тохируулна.
Add rule товчийг дарж, давтагдахгүй мета өгөгдөл эсвэл correlation логиктойгоор шинэ дүрмийг хадгална.

Энэ боломж нь стандарт дүрмийг тодорхой орчинд тохируулахад тустай. Шинэ дүрмийг эх дүрмээс хамааралгүйгээр өөрчилж болно.

Дүрмийг татаж авах

Дүрмийн хажуугийн гурван цэг (⋯)-ийг дарна.
Цэснээс Download-ийг сонгоно. Дүрэм .yaml файл хэлбэрээр татагдана.

Энэ нь нөөц хуулбар хийх, офлайнаар хянах, орчин хооронд дүрэм шилжүүлэх, эсвэл багуудтай хуваалцахад тустай.

Event definition засах

Sigma дүрэм бүр үүсэх үедээ event definition-тэй автоматаар холбогддог. Гэхдээ event definition-г дараах байдлаар засаж болно:

Дүрмийн хажуугийн гурван цэг (⋯)-ийг дарна.
Цэснээс Edit Event Definition-ийг сонгоно. Энэ нь дүрэм идэвхжихэд дохио өгөхөд ашиглагдах холбогдох event definition-г нээнэ.
Event definition-д хавсаргасан remediation тэмдэглэлийг өөрчилж, custom талбар нэмж, мэдэгдлийн тохиргоог засна.

Анхааруулга: Event definition-ий нөхцлийн төрлийг бүү өөрчил. Ингэвэл Sigma дүрэм болон event definition-ий хоорондын холбоо тасарч, дүрэм зөв ажиллахаа болино. Үйл явдлын төрлийг Filter & Aggregation эсвэл Correlation болгон өөрчилбөл огт өөр event definition үүснэ.

Дүрмийг устгах

Энэ үйлдэл дүрмийг Security Data Lake-ээс бүрмөсөн устгана. Устгахын өмнө Security Data Lake баталгаажуулалт асууна.

Анхааруулга: Дүрмийг устгавал түүний илрүүлэх логик устаж, холбогдсон дохионууд идэвхгүй болно.

Бөөнөөр хийх үйлдэл (Bulk Actions)

Зүүн талын нүднүүдээр олон дүрэм сонгоод бөөнөөр хийх үйлдлийг хэрэглэнэ. Бөөнөөр дараах үйлдэл боломжтой: идэвхжүүлэх, идэвхгүй болгох, мэдэгдэл нэмэх, татаж авах, устгах.

Тэмдэглэл: Бөөнөөр Add Notification хийх боломж нь зөвхөн нэмэх чанартай. Шинэ мэдэгдэл дүрмүүдэд нэмэгдэх бөгөөд дүрмүүдийн одоогийн мэдэгдлүүд хэвээр үлдэнэ.

Репозиторыг удирдах

Sigma Repos таб дахь импортолсон репозиторуудын жагсаалтаас дараах үйлдлийг хийж болно. Нэг репозитор дээр үйлдэл хийхийн тулд сонгосон репозиторын баруун талын гурван цэгийг дараад доорх сонголтуудаас шаардлагатайг нь сонгоно.

Edit: Дүрмийг авах салбар эсвэл хавтсыг шинэчилнэ.
Import All: Репозиторын бүх хүчинтэй дүрмийг Security Data Lake-д импортлоно.
Refresh: Боломжит дүрмийн жагсаалтыг шинэчилнэ, жишээ нь Git репозитор дахь дүрэм нэмэгдсэн эсвэл өөрчлөгдсөн бол.
Delete: Репозиторын мета өгөгдлийг Security Data Lake-ээс устгана. Дүрмүүдийг импортлох боломжгүй болох ч аль хэдийн нэмэгдсэн дүрмүүд хэвээр үлдэнэ. Устгалыг бөөнөөр бас хийж болно. Хэд хэдэн репозиторын нүдийг сонгоод Bulk Actions товчийг дараад Delete-ийг сонгоно.

Нэмсэн бүх репозитор Sigma Rules GIT Repos хуудсанд харагдана.

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.