cccs/assemblyline-service-sigma

Sigma服务

!*** !*** !GitHub !GitHub !GitHub Issues or Pull Requests by label !License

镜像概述和主要用途

Assemblyline Sigma服务用于自动化检测Windows Sysmon事件日志中指示***行为的活动。该服务是Assemblyline框架的一部分，专门设计用于扫描Windows事件日志并识别潜在的安全威胁。

核心功能和特性

• 利用pysigma库分析Windows Sysmon事件日志
• 基于Sigma规则集检测***行为模式
• 自动从指定来源获取和更新Sigma规则
• 当前使用SigmaHQ仓库中的Windows规则集（https://github.com/SigmaHQ/sigma/tree/master/rules/windows%EF%BC%89

使用场景和适用范围

该服务适用于需要持续监控Windows系统安全事件的环境，特别适合：

• 安全运营中心(SOC)进行自动化威胁检测
• 事件响应团队分析系统日志
• 企业安全监控基础设施

详细的使用方法和配置说明

镜像变体和标签

该服务基于cccs/assemblyline-v4-service-base镜像构建，该基础镜像基于Debian 11并包含Python 3.11。

Assemblyline服务使用以下标签定义：

本地测试运行

虽然该服务设计为Assemblyline框架的一部分运行，但也可以通过以下命令进行本地测试：

bash
docker run \
    --name Sigma \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-sigma

环境变量说明

添加到Assemblyline部署

要将此服务添加到您的Assemblyline部署，请遵循官方指南：https://cybercentrecanada.github.io/assemblyline4_docs/developer_manual/services/run_your_service/#add-the-container-to-your-deployment

相关文档

• https://cybercentrecanada.github.io/assemblyline4_docs/
• https://github.com/CybercentreCanada/pysigma
• https://github.com/SigmaHQ/sigma/tree/master/rules/windows