스킬 detection-sigma

🛡️

detection-sigma

Name: detection-sigma
Author: AgentSecOps

안전 🌐 네트워크 접근⚙️ 외부 명령어

Crear reglas de detección Sigma para SIEM

Los equipos de seguridad necesitan reglas de detección independientes del proveedor que funcionen en múltiples plataformas SIEM. Esta habilidad proporciona plantillas, flujos de trabajo y referencias para crear, validar y convertir reglas Sigma a Splunk, Elastic, Sentinel, QRadar y otras plataformas.

지원: Claude Codex Code(CC)

🥉 76 브론즈

스킬 ZIP 다운로드

Claude에서 업로드

설정 → 기능 → 스킬 → 스킬 업로드로 이동

토글을 켜고 사용 시작

테스트해 보기

"detection-sigma" 사용 중입니다. Crear una regla Sigma para detectar comandos codificados en PowerShell

예상 결과:

Regla: Ejecución sospechosa de PowerShell
Fuente de日志: Windows process_creation (Sysmon Event ID 1)
Detección: Image termina con powershell.exe Y CommandLine contiene -enc o FromBase64String
MITRE ATT&CK: T1059.001 (PowerShell) - táctica de ejecución
Backends soportados: Splunk SPL, Elastic Query DSL, Sentinel KQL, QRadar AQL
Severidad: Media con notas de falsos positivos para scripts de administrador

"detection-sigma" 사용 중입니다. Convertir esta regla a formato Splunk

예상 결과:

Sigma original: Detecta robo de credenciales vía acceso a memoria lsass.exe
Splunk SPL: index=windows EventID=4656 Image=*\lsass.exe GrantedAccess IN (0x1010, 0x1410)
Mapeos de campos verificados para Sysmon Event ID 10
Detección lista para Splunk Enterprise Security

"detection-sigma" 사용 중입니다. Crear detección de cumplimiento ISO 27001

예상 결과:

ISO 27001 A.12.4.1: Regla de monitoreo de actividad de usuario creada
Event IDs: 4624, 4625, 4634 para seguimiento de inicio/fin de sesión
Detección de actividad para cuentas admin, Administrator, root
Regla etiquetada: iso27001.a.12.4.1 para evidencia de cumplimiento

보안 감사

안전

v5 • 1/16/2026

Documentation-only skill containing YAML templates and reference guides for defensive security detection engineering. All static findings are FALSE POSITIVES - the flagged patterns are detection rules designed to identify malicious activity, not perform it. This skill does not contain executable code, network access, or file system operations. Previous Claude audit correctly identified this as safe.

스캔된 파일

3,140

분석된 줄 수

발견 사항

총 감사 수

위험 요인

🌐 네트워크 접근 (39)

assets/compliance-rules/iso27001-logging.yml:9 assets/compliance-rules/nist-800-53-audit.yml:9 assets/compliance-rules/pci-dss-monitoring.yml:8 assets/rule-templates/credential-access.yml:6 assets/rule-templates/lateral-movement.yml:6 assets/rule-templates/persistence.yml:6 assets/rule-templates/privilege-escalation.yml:6 references/backend-support.md:277 references/backend-support.md:265 references/backend-support.md:285 references/backend-support.md:387 references/backend-support.md:388 references/backend-support.md:389 references/backend-support.md:390 references/compliance-mappings.md:358 references/compliance-mappings.md:359 references/compliance-mappings.md:360 references/compliance-mappings.md:361 references/field-modifiers.md:424 references/field-modifiers.md:425 references/field-modifiers.md:426 references/log-source-guide.md:259 references/log-source-guide.md:260 references/log-source-guide.md:261 references/log-source-guide.md:140 references/mitre-attack-mapping.md:360 references/mitre-attack-mapping.md:361 references/mitre-attack-mapping.md:362 skill-report.json:6 SKILL.md:19 SKILL.md:20 SKILL.md:21 SKILL.md:54 SKILL.md:206 SKILL.md:501 SKILL.md:502 SKILL.md:503 SKILL.md:504 SKILL.md:505

⚙️ 외부 명령어 (478)

감사자: claude 감사 이력 보기 →

품질 점수

아키텍처

100

유지보수성

콘텐츠

커뮤니티

100

보안

사양 준수

만들 수 있는 것

Construir reglas de detección

Crear reglas de detección para seguridad basada en inteligencia de amenazas y patrones de ataque.

Migrar reglas SIEM

Convertir reglas de detección existentes entre plataformas SIEM o construir nuevas reglas desde la especificación Sigma.

Monitoreo de cumplimiento

Implementar reglas de detección para requisitos de auditoría de PCI-DSS, NIST 800-53 e ISO 27001.

이 프롬프트를 사용해 보세요

Regla de detección básica

Crear una regla de detección Sigma para [process_name] con [indicators] sospechosos en [log_source]. Incluir mapeo MITRE ATT&CK.

Conversión SIEM

Convertir esta regla Sigma a formato [Splunk|Elasticsearch|Sentinel|QRadar]. Mostrar la consulta convertida y los mapeos de campos.

Mapeo MITRE

Crear reglas de detección Sigma para la técnica MITRE ATT&CK [T####.###] cubriendo [tactic_name]. Incluir fuentes de日志 y campos clave.

Regla de cumplimiento

Crear reglas de detección Sigma para el requisito [PCI-DSS|NIST|ISO27001] [control_id]. Incluir etiquetas y documentación.

모범 사례

Usar modificadores de campo específicos como endswith en lugar de contains para mejor rendimiento
Comenzar reglas en estado experimental y promover después de probar en no producción
Etiquetar todas las reglas con técnicas MITRE ATT&CK y controles de marcos de cumplimiento

피하기

Usar criterios de detección demasiado amplios que generan falsos positivos excesivos
Implementar reglas sin probar primero contra datos históricos de日志
Crear reglas sin documentar escenarios de falsos positivos y filtros de mitigación

자주 묻는 질문

¿Qué plataformas SIEM soporta Sigma?

Sigma convierte a más de 25 plataformas incluyendo Splunk, Elastic, QRadar, Microsoft Sentinel, Chronicle, LogPoint, ArcSight y plataformas EDR.

¿Qué paquetes de Python se requieren?

Instala pysigma más los plugins del backend: pip install pysigma pysigma-backend-splunk pysigma-backend-elasticsearch pyyaml.

¿Puedo usar esto con reglas Sigma existentes?

Sí. Importa reglas del repositorio SigmaHQ o usa la habilidad para convertir, validar y personalizar reglas existentes para tu entorno.

¿Cómo se manejan los datos sensibles?

Las reglas Sigma referencian nombres de campos y patrones. Nunca incluyas datos sensibles reales en los valores de las reglas. Almacena reglas con controles de acceso de control de versiones.

¿Por qué mi consulta convertida no funciona en SIEM?

Verifica la disponibilidad de la fuente de日志, verifica los mapeos de nombres de campos, prueba el rango de tiempo y asegúrate de que el backend soporte todos los modificadores usados en la regla.

¿En qué se diferencia esto de escribir consultas SIEM directamente?

Las reglas Sigma son independientes del proveedor. Escribe una vez y convierte a cualquier backend soportado, permitiendo portabilidad entre plataformas SIEM y flujos de trabajo de detección como código.