Sigma
Na stronie Detections wybierz Import Sigma i wklej jedną regułę albo kilka, oddzielonych znakami ---. Każda reguła jest kompilowana do reguły natywnej: źródło logów jest mapowane na źródła danych XenXDR, nazwy pól na nazwy ze słownika, modyfikatory (contains, startswith, endswith, re, all, symbole wieloznaczne) są tłumaczone, a selekcje N of rozwijane.
Zaimportowane reguły są wyłączone, a oryginalny tekst Sigma zostaje zachowany jako zapytanie reguły. Przejrzyj każdą regułę, sprawdź podgląd i dopiero wtedy ją włącz. Reguła, której nie udało się skompilować, jest zgłaszana z opisem przyczyny i nie zostaje zaimportowana.
Każdy import tworzy nowe reguły. Ponowny import tej samej reguły Sigma utworzy jej drugą kopię, dlatego zaimportowane reguły zmieniaj w edytorze.
KQL i EQL
Edytor reguł przyjmuje też podzbiór KQL i EQL jako język zapytania. Od razu pokazuje, czy zapytanie się kompiluje, i wskazuje konstrukcje, których nie obsługuje. Sekwencje EQL nie są obsługiwane; zamiast nich użyj reguły sequence.
Co kompiluje się dobrze
- Detekcje procesów, sieci, plików i rejestru oparte na polach Sysmon i zdarzeń Windows.
- Detekcje uwierzytelniania oparte na dzienniku Security w Windows i zdarzeniach uwierzytelniania w Linuksie.
- Zliczanie w regule threshold. Warunki agregujące Sigma, takie jak
| count(), nie są obsługiwane.