Преобразование и загрузка правил Sigma
Скопировано
13 октября 2026
ID 302128
Преобразование и загрузка правил Sigma
Преобразование и загрузка правил Sigma
Чтобы конвертировать правило Sigma в правило KUMA:
- Перед адаптацией правила убедитесь, что соблюдены следующие требования:
- Поскольку в предустановленных нормализаторах используется обогащение событий
to lower caseдля полей, содержащих имена пользователей, имена хостов, имена процессов, мы рекомендуем в исходном правиле Sigma приводить соответствующие поля к нижнему регистру. - Мы не рекомендуем добавлять к
омментарии или дополнительную информацию в условия contains и другие условия проверки содержимого строк. Если нужно добавить комментарий, используйте символ #. Комментарий не повлияет на условие. - Правило должно начинаться со слова
title, дефисов перед ним не должно быть.
- Поскольку в предустановленных нормализаторах используется обогащение событий
- Скопируйте из веб-интерфейса KUMA правило корреляции, которое вы хотите изменить, конвертируйте его в формат YML и вставьте на вкладку конвертера rule.yml. Выберите в раскрывающихся списках нужные параметры. Если при проверке обнаружены ошибки, исправьте их.
- В конвертере правил Sigma в поле Backend выберите kuma, в поле Format выберите default, поле Pipeline оставьте пустым.
Доступны следующие значения:
- Backend: kuma, Format: default – готовый для запуска SQL-запрос без форматирования.
- Backend: kuma, format: SQL_formatted – готовый для запуска SQL-запрос c форматированием.
- Backend: kuma_filter, Format: default – готовый селектор для правила корреляции.
- Backend: kuma_filter, Format: correlation – готовое для импорта правило корреляции в формате JSON. Для импорта вы можете использовать метод REST API /api/v3/resources/correlationRule/create с указанием tenantID и названия тенанта для импорта.
- Перейдите на вкладку конвертера custom_pipeline.yml и скопируйте на эту вкладку пример словаря, адаптированный под pySigma.
На вкладке query отобразится результат конвертации правила. В зависимости от сценария полученный результат можно использовать следующим образом:
- использовать как SQL-оператор в запросе KUMA;
- использовать как фильтр в корреляционном правиле KUMA;
- импортировать в KUMA в формате JSON как корреляционное правило по одному правилу.
Вам помогла эта статья?
Что нам нужно улучшить?
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!
