查询语言

吉沃运营专员 · 发表于 2022-3-18 16:26:12

对安全事件进行分类和调查是任何 SOC 分析师的主要工作，在进行调查之前，我们必须首先要了解两件事：定义攻击和安全相关活动的通用术语以及将我们引导至该活动的搜索。

一、事件搜索语言和规则

不管是像 Elastic Stack 这样的开源工具，还是像 Splunk 这样的专有工具，每个数据挖掘或安全事件生成工具都有自己的工作语言。特别是对于 SIEM、EDR 和数据挖掘平台，它们需要广泛、灵活的语言来搜索具有用户可能具有的多种条件的数据。编写有效的搜索是一种艺术形式，强烈建议在部署之前进行大量研究和测试，蓝队博客有一个很棒的用例编写指南以及一些免费的很棒的用例。

二、Sigma

所有可用语言的语法和格式都是庞大而复杂的，尤其是当你必须将搜索参数从一种工具转换为另一种工具时，Sigma 来了。

Sigma 是一种通用且开放的签名格式，以一种直接的方式描述相关的日志事件。规则格式非常灵活，易于编写，适用于任何类型的日志文件。本项目的主要目的是提供一种结构化的形式，研究人员或分析师可以在其中描述他们曾经开发的检测方法并使其与他人共享。Sigma 用于日志文件，Snort 用于网络流量，YARA 用于文件。

Sigma 是一款出色的工具，可将规则逻辑与供应商术语分离。Sigma 以 YAML 格式存储，并与 MISP intel 工具兼容。

请记住两件事：首先，Sigma 查询可能并不完美，但它们应该让你 90-95% 的方式接近你正在寻找的东西。准备好调整！

其次，在线转换器可能无法轻松地从一个平台进行翻译。示例：LogRhythm -> Splunk。有时需要查看各种 Github 存储库以获取转换为 Sigma 的代码，然后转换为选择的平台。示例：LogRhythm -> Sigma -> Splunk。

为了使 Sigma 更易于使用，Uncoder.io 之类的工具可以轻松地将规则语法从一个平台免费转换到另一个平台。如上所述，如果无法从一个平台直接翻译到另一个平台，请先尝试将源搜索更改为 Sigma，然后再更改为你选择的平台。