EventHorizon

EventHorizon EventHorizon は、セキュリティアナリストや研究者に Event Tracing for Windows ETW テレメトリを提供し、Sigma のようなルールと組み合わせることで堅牢なエンドポイント検出および対応機能を実現するツールです。ただし、EventHorizon は適切なソリューションの代替にはなりません。このプロジェクトの主な目的は、ETW テレメトリの収集とコードを記述せずに検出ルールを生成する際の使いやすさを実現することです。この使いやすさを高めるため、EventHorizon...

Live-Forensicator

🛡️ Forensicator 🛡️ クロスプラットフォームのインシデントレスポンス＆ライブフォレンジックツールキット Windows PowerShell | Linux Bash | macOS Shell 高速で構造化された、実行可能なフォレンジック調査のために構築されました。 🤔 概要 Forensicator は、クロスプラットフォーム対応のインシデントレスポンス＆ライブフォレンジックツールキットです。 ライブ調査中に、フォレンジック調査担当者やインシデントレスポンダーがシステムアーティファクトを迅速に収集・分析・解釈するために設計されています。 Forensicator...

pySigma

pySigma pySigma 是一个将 Sigma 规则解析并转换为查询的 Python 库。它取代了传统 Sigma 工具链（sigmac），设计更为简洁，且几乎经过了全面测试。将规则转换为查询语言的后端，以及将规则转换到日志数据模型的处理管道，均被拆分到独立项目中，以保持 pySigma 本身精简且与厂商无关。请参阅下方 相关项目 部分以获取概览。 快速开始 要开始使用 pySigma，您需要 Python 3.10 或更高版本。使用您选择的 Python 包管理器进行安装。示例： root@kitploit: pip install pysigma pipenv install...

auditd

root@kitploit: / | / // / / /| |/ / / / / / / / / / // / // / / // // / // |,/,///,/ 最佳实践 Auditd 配置 核心理念 本 auditd 配置的核心理念是提供一个最佳实践基线，该基线： 设计为在主流 Linux 发行版上开箱即用 覆盖广泛的安全相关主机活动 优先使用可复用的遥测数据，而非冗长的硬编码检测规则列表 将检测逻辑保留在 Sigma 规则、SIEM 内容或主机端分析中 通过分段和注释保持易读和易调整...

threat-intel

threat-intel 本仓库包含补充材料，包括 Huntress 博客文章及其他媒体中讨论的 IOC 和签名。 组织结构 本仓库按年份组织，在相应的年份文件夹内会有一个以月份和该媒体标题命名的子文件夹，其内容为该媒体的配套材料。例如： root@kitploit: 2022 └── 2022-12 └── 28-TITLE └── detections └── sigma └── tools └── misc 对于这些补充文件的正确性或其他任何方面，均不提供任何保证。它们按 MIT 许可证发布，按原样提供。...

ThreatHound

ThreatHound ThreatHoundは、Windowsイベントログの効率的な脅威検出と分析を容易にするために設計された高度なサイバーセキュリティツールです。セキュリティデータの管理と分析のためのユーザーフレンドリーなインターフェースを提供します。主な機能には、ログ分析、Sigmaルールの統合、リアルタイムの脅威検出が含まれます。 主な機能: Windowsイベントログに対する脅威ハンティング、侵害評価、インシデントレスポンスの自動化 Sigmaルールをソースから毎日ダウンロードおよび更新 50以上の検出ルールを含む Sigma用の2300以上の検出ルールをサポート...

SecFlow

SecFlow 完全自動化されたマルチベクター脅威分析パイプライン ファイル、URL、IP、ドメイン、画像のいずれかをドロップするだけで、SecFlowが専用アナライザーに振り分け、AIで分析結果を推論し、YARAルール、SIGMAルール、エクスポート可能なPDFを含むプロフェッショナルなセキュリティレポートを自動生成します。 クイックスタート · アーキテクチャ · レポート出力 · ドキュメント SecFlowとは？ SecFlowは、セキュリティアナリスト、SOCチーム、研究者向けに構築されたオープンソースの自動脅威分析パイプライン...

Elemental

Elemental Elementalは、MITRE ATT&CKのテクニック、Atomic Red Teamテスト、および280以上のSigmaルールを集約した脅威ライブラリです。ATT&CKデータセットを探索するための代替手段を提供し、関連するAtomic Red TeamテストとSigmaルールを各テクニックにマッピングします。Elementalは、防御担当者がカスタムATT&CKテクニックを作成し、Sigmaルールをアップロードすることを可能にします。ATT&CKデータセットは、hunters-forgeのattackcti...

sigma-cli

Sigma 命令行界面 这是使用 pySigma 库来管理、列出并将 Sigma 规则转换为查询语言的 Sigma 命令行界面。 入门 安装 安装 Sigma CLI 最简单的方式是通过 pipx 或 pip 。为此，请运行以下任一命令： root@kitploit: python -m pipx install sigma-cli python -m pip install sigma-cli 在 macOS 上使用 root@kitploit: python3 -m pip install sigma-cli root@kitploit: brew install sigma-cli...

synacktiv-rules

synacktiv-rules 由 Synacktiv 创建的 Sigma 与 YARA/YARA-X 规则公共仓库。 本仓库中的所有规则均应视为标记为 TLP:CLEAR 和 PAP:CLEAR 。 前提条件 使用 Sigma 规则时，请确保按照 logsource 字段中的定义收集并正确解析所需日志。 大多数用于检测的 Sigma 规则均为关联规则（Correlation Rules） ，如 Sigma 文档中所定义，以限制误报。这意味着对 SIEM / 后端支持有限。 所有 YARA 规则仅针对 YARA-X 构建和测试。这意味着，尽管非常罕见，但与 YARA...

hayabusa

Windows イベントログ高速フォレンジックタイムライン生成ツール兼脅威ハンティングツール。 メモリ安全な Rust で記述され、 Yamato Security によって開発されています。バージョン2の相関ルールを含む、 完全な Sigma サポートを備えた唯一のオープンソースツールです。 !https://img.shields.io/badge/Black%20Hat%20Ars...

detections

检测规则 本仓库存放由 delivr.to 团队开发的检测内容。 本仓库中的所有规则都有对应的载荷（在引用中链接并在下方展示），可用于测试检测内容。 本仓库目前包含以下类型的检测： Sublime 规则 Yara 规则 Sigma 规则 Sublime 规则 以下是用于 Sublime Security 的规则列表，分为 通用 和 威胁情报 专用文件夹。 你也可以直接将 delivr.to 与 Sublime 集成，相关说明见 此处，文档见 此处。 规则名称| 类型| 载荷 ---|---|--- 附件：包含目录遍历漏洞 CVE-2025-6218 的压缩包（未经请求）| 威胁情报|...

Security-Detections-MCP

Security Detections MCP 一个 MCP（Model Context Protocol）服务器，让 LLM 查询 Sigma 、Splunk ESCU 、Elastic 、KQL 、Sublime 和 CrowdStrike CQL 安全检测规则的统一数据库。 初次使用？从设置指南开始——涵盖 macOS、Windows（WSL 和原生）和 Linux 的逐步说明。 想要托管版本？完全跳过安装：托管 MCP 设置指南 两种运行方式 本地版（全功能） ——就是你看到的这个 npm 包。在你自己的机器上运行，索引你自己的检测仓库，暴露所有 81 个工具。需要 Node.j...

owLSM

🛡️ owLSM は Linux 向けの防止と検出のゴールドスタンダードを目指しています 🛡️ owLSM は、防止に重点を置いたステートフルな Sigma ルールエンジンを実装する eBPF LSM エージェントです。 プロジェクトの概要： owLSM は主に以下の3つに焦点を当てています： 1 eBPF LSM を介して実装された Sigma ルールエンジンを使用した防止機能。 2 ステートフルな防止機能のための eBPF プローブ間のデータ相関。 3 各イベントにセキュリティ専門家が必要とするすべてのコンテキストが含まれるセキュリティ重視のシステム監視。 対象者： Linux...

BloodSOCer

BloodSOCer BloodSOCer es una herramienta de automatización en Python que agrega datos de inteligencia de amenazas de múltiples fuentes Mitre ATT&CK, reglas Sigma, Atomic Red Team y genera archivos JSON para ingerir en BloodHound en formato OpenGraph. BloodSOCer también puede subir los archivos a...

pySigma-backend-opensearch

pySigma OpenSearch 后端 这是 pySigma 的 OpenSearch 后端。它提供 sigma.backends.opensearch 包，包含两个后端类： OpensearchLuceneBackend - 将 Sigma 规则转换为 Lucene 查询语法 OpenSearchPPLBackend - 将 Sigma 规则转换为 PPL（管道处理语言）查询 Lucene 后端 Lucene 后端支持以下输出格式： default：纯 Lucene 语法的 OpenSearch 查询 提示： 在 Dashboard 中，您需要从 DQL 切换为 Lucene...

so-crates

SO-CRATES Security Onion 容器化的威胁、恶意与可疑快速分析 用于分析 pcap 文件、日志文件和二进制文件的独立 Web 应用程序。功能包括 Suricata 网络分析、YARA 二进制扫描、针对日志的 Sigma 规则检测，以及用于浏览告警、元数据、会话记录和十六进制转储的单页 UI。 📖 完整文档： https://so-crates.org/ 文档 交互式演示 安装 OhMyDebn, Docker, Podman 使用 配置 安全 架构 / API 参考 / 过滤 致谢 发布说明 开发 有关维护 SO-CRATES 的面向代理的指南（包括更新 vendor...

Cisa-KEV-Threat-Intel-Orchestrator

CISA KEV 威胁情报编排器 零接触管道，每周自动将CISA已知被利用漏洞（KEV）目录中新增的武器化CVE转化为可用于生产的Sigma检测规则。 问题 手动将新的KEV条目转化为可用的检测是缓慢的：查看公告、研究攻击模式、编写Sigma规则、测试、向团队简报。每个CVE大约需要4-6小时。一周十个新条目就是一整周的工作量，而大多数SOC并没有每周一闲置一个分析师周的时间。 功能 每周一上午8:00，管道执行以下操作： 1. 拉取实时CISA KEV目录 并隔离自上次运行以来新增的武器化CVE。 2. 使用Google Gemini为每个CVE生成Sigma检测规则...

Sigma_rules

Sigmarules 随机的 Sigma 规则，供社区共享 所有规则均由本人编写。规则中引用了相关研究。...

Detection-Rules

APT29 检测工程 基于对 MITRE ATT&CK 评估 APT29 数据集中 196,071 个 Sysmon 事件的分析，开发了生产就绪的 Sigma 检测规则。 概述 本仓库包含针对 APT29 模拟过程中观察到的对手行为经过验证的检测规则。每条规则均针对实际攻击数据进行了测试，转换为 Splunk SPL 并验证了误报率。 分析发布在： Detection Desk 检测覆盖范围 MITRE 技术| 规则名称| 严重性| 状态 ---|---|---|--- T1003.001| LSASS 进程访问权限完全| 高| 已验证 T1059.001, T1027| 可疑的...