Подготовка правил Sigma
Скопировано
16 октября 2026
ID 302128
Подготовка правил Sigma
Подготовка правил Sigma
Чтобы конвертировать правило Sigma в правило корреляции:
- Перед доработкой правила убедитесь, что соблюдены следующие требования:
- Поскольку в предустановленных нормализаторах используется обогащение событий
to lower caseдля полей, содержащих имена пользователей, имена хостов, имена процессов, рекомендуется в исходном правиле Sigma приводить соответствующие поля к нижнему регистру. - Не рекомендуется в условиях
containsи подобных условиях писать комментарии или дополнительную информацию. В случае необходимости оставить комментарий рекомендуется использовать символ#, тогда комментарий не окажет влияния на условие. - Правило должно начинаться со слова
title, дефисов перед ним не должно быть.
- Поскольку в предустановленных нормализаторах используется обогащение событий
- Скопируйте из веб-интерфейса OSMP правило корреляции, которое вы хотите доработать, конвертируйте его в формат YML и вставьте на вкладку конвертера rule.yml. Выберите в раскрывающихся списках нужные параметры. При необходимости исправьте ошибки.
- В конвертере правил Sigma в поле Backend выберите kuma, в поле Format выберите default, поле Pipeline оставьте пустым.
Доступны следующие значения:
- Backend: kuma, Format: default – готовый для запуска SQL-запрос без форматирования.
- Backend: kuma, format: SQL_formatted – готовый для запуска SQL запрос c форматированием.
- Backend: kuma_filter, Format: default – готовый селектор для правила корреляции.
- Backend: kuma_filter, Format: correlation – готовое для импорта правило корреляции в формате JSON. Для импорта вы можете использовать метод REST API /xdr/api/v3/kuma/resources/{kind}/create с указанием tenantID и названия тенанта для импорта.
- Перейдите на вкладку конвертера custom_pipeline.yml и скопируйте на эту вкладку пример словаря, адаптированный под pySigma.
На вкладке query отобразится конвертированное правило. В результате конвертации вы получите условие WHERE для SQL-запроса.
Вы можете скопировать готовый результат в OSMP, если это запрос или фильтр. Если вы хотите использовать в OSMP правило, можно импортировать в OSMP по одному правилу.
Вам помогла эта статья?
Что нам нужно улучшить?
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!
