منطق قابلخواندن
ساختار استاندارد، بازبینی Rule و اشتراک دانش میان تحلیلگران را سادهتر میکند.
SIGMA DETECTION RULES
منطق تشخیص را مستقل از ابزار و قابلانتقال نگه دارید
Sigma یک قالب عمومی برای توصیف الگوهای مشکوک در Logهاست. تیمهای SOC میتوانند منطق تشخیص را مستند کنند، به Query ابزار مقصد تبدیل کنند و آن را در طول زمان آزمون و بهبود دهند.
تمرکزLog-based Detection
مقصدSIEM و ابزار تحلیل
چرخهنوشتن، آزمون، Tune
تصمیم فنی آگاهانه
از Rule عمومی تا Detection قابلاتکا
Rule عمومی نقطه شروع است، نه خروجی نهایی. نام فیلدها، کیفیت Log، پوشش Audit، رفتار عادی محیط و محدودیت Backend باید در تبدیل و Tune هر قانون لحاظ شوند.
قابلیت تبدیل
Rule میتواند با Backend مناسب به Query پلتفرمهای مختلف تبدیل شود، اما خروجی باید آزمون شود.
مدیریت False Positive
فیلترها و استثناهای محیطی باید مستند شوند تا کاهش هشدار باعث ایجاد نقطه کور نشود.
پوشش MITRE ATT&CK
برچسبگذاری تکنیکها به تحلیل شکاف پوشش و اولویتبندی Detection Engineering کمک میکند.
سناریوهای کاربردی
این راهکار چه زمانی مفید است؟
- شناسایی اجرای ابزارهای مدیریت از مسیر غیرعادی
- کشف تغییرات مشکوک در Persistence
- پایش رفتار PowerShell و Command Line
- اشتراک منطق تشخیص بین تیم و ابزارها
workflow.log۱
انتخاب سناریو
رفتار مهاجم و منبع Log موردنیاز مشخص میشود.
۲
تبدیل و آزمون
Rule برای Backend مقصد تبدیل و با داده واقعی آزمون میشود.
۳
Tune و پایش
استثناها مستند و کیفیت Detection بهصورت دورهای سنجیده میشود.
مسیر اجرا
از نیازمندی تا اقدام
انتخاب سناریو
رفتار مهاجم و منبع Log موردنیاز مشخص میشود.
تبدیل و آزمون
Rule برای Backend مقصد تبدیل و با داده واقعی آزمون میشود.
Tune و پایش
استثناها مستند و کیفیت Detection بهصورت دورهای سنجیده میشود.
پرسشهای متداول
پاسخ کوتاه به پرسشهای اصلی
آیا Sigma مستقیماً روی SIEM اجرا میشود؟
معمولاً Rule باید با Backend مناسب به Query زبان پلتفرم مقصد تبدیل و سپس در همان محیط آزمون شود.
آیا افزودن تعداد زیاد Rule مفید است؟
تعداد بیشتر بدون Log مناسب، آزمون و فرایند پاسخ میتواند فقط حجم هشدار را افزایش دهد؛ کیفیت و پوشش مهمتر از تعداد است.
چگونه Ruleها نگهداری شوند؟
بهتر است در مخزن نسخهبندیشده همراه مالک، منبع، تاریخ آزمون، استثناها و نگاشت ATT&CK نگهداری شوند.
NEXT STEP
برای انتخاب مسیر مناسب، نیازمندی خود را ثبت کنید
اطلاعات اولیه را ارسال کنید تا دامنه، تعداد میزبان و گزینههای مناسب بررسی شوند.