Conceito e funcionamento
Uma regra Sigma descreve logsource, selectors e condição, permitindo conversão por ferramentas para um backend. O formato dos campos e a semântica do backend precisam coincidir com a fonte real. Uma regra sintaticamente válida não garante qualidade, precisão ou cobertura de técnica ATT&CK.
Como investigar e correlacionar
Defina hipótese, sistema, fonte, campos e amostras positivas e negativas. Valide sintaxe, conversão para backend, consulta gerada e resultado com dados equivalentes à produção. Registre versão da regra, falsos positivos, permissões e runbook do alerta.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
title: Exemplo didatico
logsource:
product: windows
category: process_creation
detection:
selection:
Image|endswith: '\\powershell.exe'
condition: selection
level: lowESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Uma regra Sigma converte sem erro para backend, mas não identifica um processo que o laboratório produziu.
Procedimento orientado
Confirme logsource, nomes de campo, parser, conversor e query gerada; rode exemplos positivos e negativos.
Resultado esperado
A entrega distingue validação sintática de teste comportamental e registra qual mapeamento estava incorreto.
Cuidados adicionais
Regra importada de outro repositório não garante compatibilidade com seus dados.
Limitações e interpretações incorretas
Traduções podem alterar operadores e semântica. Uma busca por binário administrativo isolado geralmente tem baixa precisão. Não declare regra 'validada' sem especificar dataset, backend e resultado do teste.
Checklist de validação
- Verificar schema e logsource
- Testar conversão
- Executar positivos e negativos
- Documentar status e limitações
Referências técnicas
Guias para aprofundar
- mitre attck engenharia deteccao — aguardando publicação editorial
- hipoteses deteccao efetivas — aguardando publicação editorial