Конвертер правил Sigma

Конвертер правил Sigma преобразует правила корреляции в формат, поддерживаемый KUMA, и упрощает импорт простых правил для последующей доработки аналитиком.

Список операционных систем, на которых поддерживается работа конвертера правил Sigma, приведен в разделе Программные требования.

Чтобы использовать конвертер правил Sigma для преобразования правил корреляции:

1. Установите конвертер правил Sigma. Доступны следующие варианты установки:

   Установка конвертера правил Sigma с использованием docker и bash

   Этот метод установки подходит для локальной установки веб-интерфейса конвертера.

   Для установки требуются последние версии bash и docker. Для подробной информации по развертыванию bash и docker обратитесь к официальной документации.

   Astra Linux 1.7 не поддерживается.

   Чтобы установить конвертер:

   1. Войдите в директорию с распакованным архивом и выполните одну из команд:
      • Чтобы установить конвертер на хост с адресом 0.0.0.0:8000, выполните следующую команду:

        ./run.sh

      • Чтобы установить конвертер на хост с адресом 0.0.0.0 и другим портом, например 8888, выполните следующую команду:

        ./run.sh <port>

        где:

        <port> – порт (порт по умолчанию 8000).

      • Чтобы установить конвертер на хост с адресом 127.0.0.1:9999, выполните следующую команду:

        ./run.sh <IP address>:<port>

        где:

        • <IP address>
          –

          IP-адрес слушающего интерфейса, по умолчанию

          0.0.0.0

          . Указывайте

          127.0.0.1

          для запуска только на локальном интерфейсе.

        • <port>
          –

          порт.

   Конвертер будет установлен.

   Установка конвертера правил Sigma в среде, допускающей запуск образов docker

   Этот метод установки использует предоставленный контейнер и позволяет создать сервис systemd и развернуть веб-интерфейс с помощью Kubernetes.

   Подойдет любой инструмент запуска контейнеров, например docker, podman или cri-o. Установка заключается в загрузке образа контейнера и последующего запуска образа с указанием нужного порта.

   Чтобы установить конвертер с помощью podman:

   1. Загрузите образ контейнера:

      podman load --input "kuma-sigma-converter-x.x.x.tar

   2. Запустите образ одним из следующих способов:
      • С помощью команды:

        podman run --name=kuma-converter -p "8000:8000" -e "PORT=8000" --rm -it kuma-sigma-converter:x.x.x

        Дождитесь, когда команда будет выполнена или перейдет в состояние ожидания. Не нажимайте Ctrl+C, пока процесс установки не будет завершен или пока не будет явно предложено прервать установку

      • Запуск в фоновом режиме:

        podman run --name=kuma-converter -p "8000:8000" -e "PORT=8000" --rm kuma-sigma-converter:x.x.x

   Конвертер будет установлен.

   Установка конвертера правил Sigma с использованием Python 3.10 и выше

   Этот метод установки отличается наибольшей гибкостью и подходит опытным пользователям, поскольку вы можете адаптировать конвертер под свои потребности. В отличие от других методов, этот метод требует подключения к интернету для скачивания пакетов Python.

   Чтобы установить конвертер:

   1. Убедитесь, что установлен Python 3.10 или выше.
   2. Установите poetry для управления зависимостями Python. Для Ubuntu или Debian можно воспользоваться менеджером пакетов:

      sudo apt-get update

      sudo apt install pipx

      pipx install poetry

   3. Используйте poetry для настройки и запуска веб-интерфейса конвертера правил Sigma:

      cd sigconverter.io

      poetry install

      poetry run ./run.py

   4. В браузере перейдите на хост, где установлен веб-интерфейс конвертера правил Sigma. Для локальной установки адрес будет следующим: http://127.0.0.1:8000 или http://0.0.0.0:8000.
   5. При необходимости укажите переменные окружения HOST и PORT, чтобы настроить слушающий интерфейс и задать номер порта.

   Конвертер будет установлен.

   Поскольку конвертер правил Sigma представляет собой плагин для инфраструктуры pySigma, допускается использование pySigma-backend-kuma с другими стандартными инструментами Sigma, не только настраиваемой версией sigconverter.io. Например:

   • sigma-cli – конвертер с интерфейсом командной строки.
   • sigconverter.io – исходный универсальный веб-интерфейс.

   Файлы README для библиотек, представленных в исходном коде:

   • src/pySigma/README.md – инфраструктура и библиотека промышленного стандарта преобразования sigma.
   • src/pySigma-backend-kuma/README.md – плагин для pySigma, который реализует преобразование фильтров и запросов KUMA.
   • src/sigconverter.io/README.md – пользовательский веб-интерфейс.

   После установки войдите в веб-интерфейс конвертера.

2. Адаптируйте правило корреляции в конвертере правил Sigma и скопируйте или импортируйте адаптированное правило в KUMA.
3. Перезапустите коррелятор, чтобы применить изменения.

Адаптированное вами правило корреляции будет применяться в корреляторе.