Таксономия - grikos/sigma GitHub Wiki

Данная страница определяет названия полей и источников логов, которые нужно использовать для того, чтобы обеспечить возможность распространения Sigma-правил.

Источники Логов

Обобщенные категории источников логов

События Создания Процесса

События создания процесса могут быть определены с помощью обобщённой категории process_creation. Далее выборка событий может быть ограничена атрибутом product. Пример события создания процесса для источника логов, ограниченного операционной системой Windows:

category: process_creation
product: windows

Названия полей соответствуют названиям полей, используемых в событиях Sysmon:

Название поля Пример значения Комментарий
UtcTime 2019-03-02 08:51:00.008 (бесполезно)
ProcessGuid {c1b49677-43f4-5c7a-0000-0010d3dd8044} (бесполезно)
ProcessId 1028
Image C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
FileVersion 1.3.28.13
Description Google Installer
Product Google Update
Company Google Inc.
CommandLine "C:\Program Files (x86)\Google\Update\GoogleUpdate.exe" /ua /installsource scheduler
CurrentDirectory C:\Windows\system32\
User NT AUTHORITY\SYSTEM
LogonGuid {c1b49677-3fb9-5c09-0000-0020e7030000} (бесполезно)
LogonId 0x3e7
TerminalSessionId 0
IntegrityLevel System
imphash E96A73C7BF33A464C510EDE582318BF2
md5 CCF1D1573F175299ADE01C07791A6541
sha1 0AE1F9071C5E8FE4A69D3F671937935D242D8A6C
sha256 68A15A34C2E28B9B521A240B948634617D72AD619E3950BC6DC769E60A0C3CF2
ParentProcessGuid {c1b49677-6b43-5c78-0000-00107fb77544} (бесполезно)
ParentProcessId 1724
ParentImage C:\Windows\System32\taskeng.exe
ParentCommandLine taskeng.exe {88F94E5C-5DC3-4606-AEFA-BDCA976D6113} S-1-5-18:NT AUTHORITY\System:Service:

Специфические Источники Логов

  • product: windows: журналы событий операционной системы Windows. Именование атрибутов Windows Eventlog используются в Sigma-правилах.
    • service: security: события журнала безопасности Windows. Некоторые поля могут быть покрыты обобщёнными источниками логов
    • service: system: события системного журнала Windows
    • service: sysmon: события Sysmon. Некоторые поля могут быть покрыты обобщёнными источниками логов
    • service: taskscheduler: события журнала планировщика заданий Windows
    • service: wmi: события журнала Windows Management Instrumentation
    • service: application: события журналов приложений
    • service: dns-server: события журнала сервера DNS
    • service: driver-framework: события журнала Windows Driver Frameworks
    • service: powershell: события журнала PowerShell
    • service: powershell-classic: ???
  • product: linux: файлы логов Linux
    • service: auth: логи аутентификации Linux. Обычно /var/log/auth.log.
    • service: auditd: логи аудита Linux
    • service: clamav: логи ClamAV
  • product: apache: логи демона Apache httpd
    • service: access: логи доступа - Access logs
    • service: error: логи ошибок - Error logs
  • category: proxy
    • Название полей соответствуют W3C Extended Log File Format. Дополнительные примеры W3 могут быть найдены по ссылке - Microsoft.
    • Названия полей:
      • c-uri: URL, запрошенный клиентом
      • c-uri-extension: расширение URL. Обычно это расширение из имени запрошенного файла
      • c-uri-query: компонент Path запрошенного URL
      • c-uri-stem: компонент Stem запрошенного URL
      • c-useragent: заголовок User-Agent, отправленный от клиента к серверу
      • cs-bytes: количество байт, отправленых от клиента к серверу
      • cs-cookie: заголовок Cookie, отправленный от клиента к серверу
      • cs-host: заголовок Host, отправленный от клиента к серверу
      • cs-method: метод запроса HTTP
      • r-dns: запрошенный домен. Соответствует загловку Host или домену URL. Рекомендуется использовать поле cs-host вместо данного поля
      • cs-referrer: ссылающийся сайт или ссылка
      • cs-version: версия протокола HTTP, которую использует клиент
      • sc-bytes: количество байт, отправленых сервером к клиенту
      • sc-status: код состояния HTTP
      • src_ip: IP-адрес клиента, отправившего запрос
      • dst_ip: IP-адрес сервера
  • category: firewall
    • Названия полей:
      • src_ip, src_port, dst_ip, dst_port, username
  • category: dns
  • category: webserver
    • Использует те же самые названия полей, что и category: proxy