Selamlar,
Mavi takim tarafinda en degerli becerilerden biri, bir saldiri davranisini jenerik bir tespit kuralina cevirebilmek. Sigma tam da bunun icin var: tek bir YAML kuralini yazip Splunk, Elastic, Sentinel gibi farkli SIEM'lere cevirebiliyorsunuz. Bu konuda Sigma mantigini ve basit bir kural yazimini adim adim gosterecegim.
Konuda Anlatilacaklar
- Sigma nedir, neden standart haline geldi?
- Kural anatomisi (logsource, detection)
- Ornek: supheli PowerShell indirmesi
- sigma-cli ile hedefe cevirme
- False positive yonetimi
1) Sigma Nedir?
Sigma, log tabanli tespit kurallari icin acik bir imza formatidir. YARA dosyalara, Snort ag trafigine ne ise, Sigma da log olaylarina odur. Avantaji tasinabilirlik: bir kez yazilan kural, backend'e gore hedef sorguya cevrilir. 2026 itibariyle topluluk deposu binlerce hazir kural barindiriyor.
2) Kural Anatomisi
Her kuralin iki kilit bolumu vardir: hangi logda arayacagini soyleyen logsource ve neyi arayacagini soyleyen detection.
Kod:
title: Supheli PowerShell Web Indirmesi
status: experimental
logsource:
product: windows
category: process_creation
detection:
selection:
Image|endswith: '\powershell.exe'
CommandLine|contains:
- 'DownloadString'
- 'IEX'
- 'Invoke-WebRequest'
condition: selection
level: mediumBurada process olusturma loglarinda (Sysmon Event ID 1 veya Security 4688) powershell.exe'nin indirme/execute kaliplariyla calismasini ariyoruz.
3) Hedefe Cevirme
sigma-cli ile kurali istediginiz backend'e cevirirsiniz:
Kod:
pip install sigma-cli
sigma plugin install splunk
sigma convert -t splunk -p sysmon powershell_download.ymlCikan sorguyu dogrudan SIEM'inizde arama olarak kullanabilir veya alarma baglayabilirsiniz.
4) False Positive Yonetimi
Hicbir kural ilk gunden mukemmel degildir. Kurali yazdiktan sonra birkac gun "audit" modunda calistirip gelen eslesmeleri inceleyin. Mesru yonetim scriptleri de Invoke-WebRequest kullanabilir; bu durumda bilinen sunucu adlarini veya imzali scriptleri filter blokuyla elersiniz:
Kod:
filter:
CommandLine|contains: 'https://repo.sirketiniz.local'
condition: selection and not filter5) Pratik Tavsiye
Once Sysmon'u iyi bir config ile kurun (telemetri olmadan kural calismaz), sonra MITRE ATT&CK tekniklerinden birini secip ona karsilik gelen Sigma kurallarini inceleyin. Hazir kurallari okumak, kendi kuralinizi yazmanin en hizli yoludur.
Kaynaklar
Alıntı:Yasal not: Tespit kurallarini yalnizca yonettiginiz veya izinli oldugunuz log kaynaklarinda uygulayin.
Siz hangi teknik icin kural yaziyorsunuz, altta paylasin.