スキル detection-sigma

📦

detection-sigma

Name: detection-sigma
Author: AgentSecOps

中リスク 🌐 ネットワークアクセス⚙️ 外部コマンド

Sigma 検出ルールを構築

セキュリティチームには、SIEM プラットフォームをまたいで機能するポータブルな検出ロジックが必要です。このスキルは、Sigma ルールの作成、ATT&CK へのマッピング、ハンティングやコンプライアンスワークフロー向けの準備を支援します。

対応: Claude Codex Code(CC)

📊 75 十分

スキルの ZIP をダウンロード

Claudeでアップロード

設定 → 機能 → スキル → スキルをアップロードに移動

オンにして使い始める

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/agentsecops-detection-sigma.md 署名済み manifest GET /api/skills/agentsecops-detection-sigma/manifest 署名済み lockfile GET /api/skills/agentsecops-detection-sigma/lockfile

テストする

「detection-sigma」を使用しています。エンコードされた PowerShell コマンドの検出作成リクエスト。

期待される結果:

Windows プロセス作成ログ、コマンドライン指標、ATT&CK execution タグ、誤検知メモ、テストガイダンスを含む構造化された Sigma ルール説明。

「detection-sigma」を使用しています。 Splunk チームと Sentinel チーム向けに検出戦略を変換するリクエスト。

期待される結果:

バックエンド固有の計画メモ
フィールドマッピングに関する考慮事項
デプロイ前の検証手順
既知の変換制限

「detection-sigma」を使用しています。 PCI-DSS 監査証跡監視カバレッジを評価するリクエスト。

期待される結果:

監査証跡に関連する認証、アカウント管理、ファイルアクセスイベントを特定する、コントロールから検出への対応サマリー。

セキュリティ監査

中リスク

v6 • 6/28/2026

Static analysis reported many critical and high indicators, but most are false positives caused by Sigma detection examples, ATT&CK terminology, markdown command snippets, and reference URLs. One real documentation risk remains: a Splunk deployment example uses placeholder credentials and disables TLS verification. No confirmed malicious intent or prompt injection attempt was found, so publication is acceptable with a security warning.

スキャンされたファイル

2,873

解析済み行数

検出結果

総監査数

中リスクの問題 (1)

references/backend-support.md:265-277

Unsafe Deployment Example Uses Placeholder Credentials and Disabled TLS Verification

The Splunk deployment example defines placeholder admin credentials and sends a REST request with TLS verification disabled. This appears to be documentation, not malicious code, but users could copy it into production automation.

低リスクの問題 (4)

SKILL.md:19-21 references/log-source-guide.md:140 references/backend-support.md:265-277

Static Network Indicators Are Documentation and References

Hardcoded URLs and the .onion example appear in references, ATT&CK links, backend documentation, and Sigma detection examples. I did not find evidence that the skill initiates network traffic by itself.

SKILL.md:42-44 SKILL.md:48-54 references/backend-support.md:7-14

External Command Alerts Are Mostly Markdown Examples

PowerShell, cmd.exe, Python, and shell snippets are used to explain Sigma rule patterns, installation commands, and conversion workflows. They are not hidden execution paths inside the skill package.

assets/rule-templates/credential-access.yml:44-72 references/mitre-attack-mapping.md:312-321 references/field-modifiers.md:155-164

Credential, Ransomware, C2, and Obfuscation Keywords Are Defensive Detection Content

The high-severity keyword alerts map to Sigma rules and ATT&CK reference content for detecting credential access, encoded commands, onion domains, command and control, and ransomware file changes.

assets/compliance-rules/pci-dss-monitoring.yml:28 assets/rule-templates/persistence.yml:22

No Prompt Injection Attempt Found in Reviewed Suspicious Text

Search terms related to prompt injection matched normal compliance and ATT&CK wording, such as administrator activity and system updates. No evidence found for instructions to override the evaluator or skip security review.

リスク要因

🌐 ネットワークアクセス (38)

assets/compliance-rules/iso27001-logging.yml:9 assets/compliance-rules/nist-800-53-audit.yml:9 assets/compliance-rules/pci-dss-monitoring.yml:8 assets/rule-templates/credential-access.yml:6 assets/rule-templates/lateral-movement.yml:6 assets/rule-templates/persistence.yml:6 assets/rule-templates/privilege-escalation.yml:6 references/backend-support.md:277 references/backend-support.md:265 references/backend-support.md:285 references/backend-support.md:387 references/backend-support.md:388 references/backend-support.md:389 references/backend-support.md:390 references/compliance-mappings.md:358 references/compliance-mappings.md:359 references/compliance-mappings.md:360 references/compliance-mappings.md:361 references/field-modifiers.md:424 references/field-modifiers.md:425 references/field-modifiers.md:426 references/log-source-guide.md:259 references/log-source-guide.md:260 references/log-source-guide.md:261 references/log-source-guide.md:140 references/mitre-attack-mapping.md:360 references/mitre-attack-mapping.md:361 references/mitre-attack-mapping.md:362 SKILL.md:19 SKILL.md:20 SKILL.md:21 SKILL.md:54 SKILL.md:206 SKILL.md:501 SKILL.md:502 SKILL.md:503 SKILL.md:504 SKILL.md:505

⚙️ 外部コマンド (474)

検出されたパターン

Unsafe Deployment Example Uses Placeholder Credentials and Disabled TLS Verification

監査者: codex 監査履歴を表示 →

品質スコア

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

セキュリティ

仕様準拠

作成できるもの

ポータブルな検出を作成

レビュー、バージョン管理、複数の SIEM プラットフォーム向けの変換が可能な Sigma ルールを構築します。

脅威ハンティングを計画

ATT&CK 技術を、必要なログソース、フィールド、誤検知メモを含むハンティングロジックに変換します。

コンプライアンスカバレッジをマッピング

監査ログ要件を Sigma スタイルの監視ルールと証跡収集ワークフローに結び付けます。

これらのプロンプトを試す

基本ルールを下書き

不審な PowerShell 実行を検出する Sigma ルールを作成してください。ログソース、検出ロジック、誤検知、レベル、ATT&CK タグを含めてください。

既存ルールをチューニング

ノイズの多い条件について、この Sigma ルールをレビューしてください。検出目的を維持しながら、フィルター、フィールド変更、テストケースを提案してください。

技術をマッピング

ATT&CK technique T1021 について、Sigma 検出アイデア、必要なログ、重要なフィールド、除外すべき可能性の高い正常な活動を提案してください。

検出カバレッジを設計

Windows エンドポイント全体における認証情報アクセスの Sigma 検出カバレッジ計画を構築してください。ルールファミリー、ログソース、ATT&CK マッピング、検証手順、デプロイ時の注意事項を含めてください。

ベストプラクティス

本番環境へデプロイする前に、各ルールを既知の正常サンプルと既知の悪性サンプルに対してテストしてください。
所有者、変更履歴、ATT&CK タグ、コンプライアンスマッピングとともに、ルールをバージョン管理に保持してください。
デプロイ例を使用する前に、プレースホルダーの認証情報、URL、フィールド名を置き換えてください。

回避

ローカルのログ可用性とフィールドマッピングを検証せずに、生成されたルールをデプロイしないでください。
共有されるルール例に、実際のシークレット、顧客データ、機密性の高い指標を含めないでください。
TLS 検証を無効化したり、プレースホルダー認証情報を使用したりするデプロイスニペットをコピーしないでください。

よくある質問

Sigma とは何ですか？

Sigma は、ログベースのセキュリティ検出を記述するためのベンダー中立のルール形式です。

このスキルで SIEM にルールをデプロイできますか？

いいえ。ガイダンスとテンプレートを提供します。デプロイには、承認済みの SIEM ツールと認証情報が必要です。

どの SIEM プラットフォームが対象ですか？

リファレンスでは、Splunk、Elasticsearch、QRadar、Microsoft Sentinel、およびその他の pySigma 対応バックエンドについて説明しています。

コンプライアンスコンテンツは含まれていますか？

はい。PCI-DSS、NIST 800-53、ISO 27001、SOC 2 スタイルの監視カバレッジの例が含まれています。

同梱ルールは本番環境でそのまま使えますか？

いいえ。これらは開始用テンプレートであり、ローカルログ、命名規則、誤検知に合わせてチューニングする必要があります。

なぜセキュリティ警告があるのですか？

デプロイ例の 1 つでは、プレースホルダー認証情報と無効化された TLS 検証が使用されています。実際に使用する前に置き換えてください。

開発者情報

作成者

AgentSecOps

ライセンス

MIT

リポジトリ

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/incident-response/detection-sigma

参照

main

ファイル構成

📁 assets/

📁 compliance-rules/

📄 iso27001-logging.yml

📄 nist-800-53-audit.yml

📄 pci-dss-monitoring.yml

📁 rule-templates/

📄 credential-access.yml

📄 lateral-movement.yml

📄 persistence.yml

📄 privilege-escalation.yml

📁 references/

📄 backend-support.md

📄 compliance-mappings.md

📄 field-modifiers.md

📄 log-source-guide.md

📄 mitre-attack-mapping.md

📄 SKILL.md