技能 detection-sigma
📦

detection-sigma

v0.1.0 内容修订 r2 高风险 🌐 网络访问⚙️ 外部命令

构建 Sigma 检测规则

安全团队需要可跨 SIEM 平台使用的可移植检测逻辑。此技能可帮助起草 Sigma 规则、将其映射到 ATT&CK，并规划验证工作流。

支持: Claude Codex Code(CC)
⚠️ 38 差

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求
Review the Skillstore skill "detection-sigma" from https://skillstore.io/skills/agentsecops-detection-sigma.md and its manifest at https://skillstore.io/api/skills/agentsecops-detection-sigma/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/agentsecops-detection-sigma.md 已签名 manifest GET /api/skills/agentsecops-detection-sigma/manifest 已签名 lockfile GET /api/skills/agentsecops-detection-sigma/lockfile

测试它

正在使用“detection-sigma”。 请求为编码的 PowerShell 命令创建检测。

预期结果:

一份结构化的 Sigma 规则描述，包含 Windows 进程创建日志、命令行指标、ATT&CK 执行标签、误报说明和测试指导。

正在使用“detection-sigma”。 请求为 Splunk 和 Sentinel 团队转换检测策略。

预期结果:

  • 特定后端的规划说明
  • 字段映射注意事项
  • 部署前的验证步骤
  • 已知转换限制

正在使用“detection-sigma”。 请求评估 PCI-DSS 审计跟踪监控覆盖范围。

预期结果:

一份控制到检测的摘要，用于识别与审计证据相关的身份验证、账户管理和文件访问事件。

安全审计

高风险
v10 • 2026/7/23 打开版本化报告

Most static findings are false positives from defensive selectors, ATT&CK labels, citations, Markdown fences, and SIEM query examples. One network finding is confirmed because the deployment example performs an authenticated request. Separate findings cover disabled TLS verification, administrator placeholders, and unpinned dependencies.

14
已扫描文件
2,883
分析行数
1
复核项
0
已忽略误报

已确认安全问题 (2)

高
references/backend-support.md:265-277
Insecure Splunk Deployment Example
The Splunk example embeds administrator placeholders and disables certificate verification. Copying it can expose credentials to interception and normalize insecure TLS.
The credential tuple and disabled certificate verification appear together in one deployment example, making the unsafe pattern explicit.
中
SKILL.md:14-16SKILL.md:42-44
Unpinned Security Tool Dependencies
Dependency metadata and installation instructions omit versions. Future package compromise or incompatible updates could change installed behavior without review.
Both the declared package list and pip command name packages without version constraints.
能力复核项 (1)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

中
references/backend-support.md:277
Python HTTP libraries
response = requests.post(url, auth=auth, data=data, verify=False)
This example performs an authenticated HTTP POST to a Splunk administrative endpoint, so it has real network and credential-handling effects.

风险因素

🌐 网络访问 (21)
assets/compliance-rules/iso27001-logging.yml:9 assets/compliance-rules/nist-800-53-audit.yml:9 assets/compliance-rules/pci-dss-monitoring.yml:8 assets/rule-templates/credential-access.yml:6 assets/rule-templates/lateral-movement.yml:6 assets/rule-templates/persistence.yml:6 assets/rule-templates/privilege-escalation.yml:6 references/backend-support.md:277 references/backend-support.md:265 references/backend-support.md:285 references/log-source-guide.md:140 SKILL.md:19 SKILL.md:20 SKILL.md:21 SKILL.md:54 SKILL.md:206 SKILL.md:501 SKILL.md:502 SKILL.md:503 SKILL.md:504 SKILL.md:505
⚙️ 外部命令 (50)
assets/rule-templates/credential-access.yml:71 references/backend-support.md:23 references/backend-support.md:58 references/backend-support.md:96 references/backend-support.md:130 references/backend-support.md:151 references/backend-support.md:269 references/backend-support.md:306 references/backend-support.md:320 references/backend-support.md:334 references/backend-support.md:348 references/field-modifiers.md:19 references/field-modifiers.md:23 references/field-modifiers.md:24 references/field-modifiers.md:25 references/field-modifiers.md:37 references/field-modifiers.md:41 references/field-modifiers.md:42 references/field-modifiers.md:45 references/field-modifiers.md:57 references/field-modifiers.md:61 references/field-modifiers.md:62 references/field-modifiers.md:75 references/field-modifiers.md:94 references/field-modifiers.md:98 references/field-modifiers.md:99 references/field-modifiers.md:111 references/field-modifiers.md:176 references/field-modifiers.md:234 references/field-modifiers.md:243 references/field-modifiers.md:249 references/field-modifiers.md:250 references/field-modifiers.md:264 references/field-modifiers.md:317 references/field-modifiers.md:322 references/field-modifiers.md:331 references/field-modifiers.md:338 references/field-modifiers.md:348 references/field-modifiers.md:354 references/field-modifiers.md:377 references/field-modifiers.md:379 references/field-modifiers.md:265 references/log-source-guide.md:27 references/mitre-attack-mapping.md:18 references/mitre-attack-mapping.md:20 references/mitre-attack-mapping.md:28 references/mitre-attack-mapping.md:352 references/mitre-attack-mapping.md:46 references/mitre-attack-mapping.md:52 SKILL.md:42-44
审计者: codex 查看审计历史 →
分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告
安全评估

复制报告链接

https://skillstore.io/skills/agentsecops-detection-sigma/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-detection-sigma/security.svg)](https://skillstore.io/skills/agentsecops-detection-sigma?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/agentsecops-detection-sigma?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-detection-sigma/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/agentsecops-detection-sigma.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
学术引用 (APA · BibTeX · CFF)

APA 引用

AgentSecOps. (2026). detection-sigma security audit report (audit version 10) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-detection-sigma/audits/10

BibTeX 引用

@techreport{agentsecops-agentsecops-detection-sigma-2026, author = {AgentSecOps}, title = {detection-sigma security audit report (audit version 10)}, institution = {Skillstore}, year = {2026}, number = {10}, url = {https://skillstore.io/skills/agentsecops-detection-sigma/audits/10}, note = {Author version 0.1.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "detection-sigma security audit report (audit version 10)" version: "0.1.0" type: report authors: - name: "AgentSecOps" date-released: "2026-07-23" url: "https://skillstore.io/skills/agentsecops-detection-sigma/audits/10" identifiers: - type: other value: "skillstore:agentsecops-detection-sigma:audit:10" description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据 证据置信度: 中
59
架构
100
可维护性
87
内容
76
社区
87
规范符合性

你能构建什么

创建可移植检测

构建可审查、可版本化，并可转换到多个 SIEM 平台的 Sigma 规则。

规划威胁狩猎

将 ATT&CK 技术转换为狩猎逻辑，并包含所需日志源、字段和误报说明。

映射合规覆盖范围

将审计日志记录要求连接到 Sigma 风格的监控规则和证据收集工作流。

试试这些提示

起草基础规则 
创建一个用于检测可疑 PowerShell 执行的 Sigma 规则。包括日志源、检测逻辑、误报、级别和 ATT&CK 标签。
调优现有规则 
审查此 Sigma 规则中的高噪声条件。建议过滤器、字段更改和测试用例，同时保留检测目标。
映射技术 
针对 ATT&CK 技术 T1021，提出 Sigma 检测思路、所需日志、重要字段以及可能需要排除的良性活动。
设计检测覆盖范围 
为 Windows 终端上的凭据访问构建 Sigma 检测覆盖计划。包括规则系列、日志源、ATT&CK 映射、验证步骤和部署注意事项。

最佳实践

  • 在生产部署前，针对已知良性和已知恶性样本测试每条规则。
  • 将规则保存在版本控制中，并包含负责人、变更历史、ATT&CK 标签和合规映射。
  • 在使用部署示例前，替换占位凭据、URLs 和字段名称。

避免

  • 不要在未验证本地日志可用性和字段映射的情况下部署生成的规则。
  • 不要在共享规则示例中包含真实密钥、客户数据或敏感指标。
  • 不要复制会禁用 TLS 验证或使用占位凭据的部署代码片段。

常见问题

什么是 Sigma？
Sigma 是一种供应商中立的规则格式，用于描述基于日志的安全检测。
此技能可以将规则部署到我的 SIEM 吗？
不能。它提供指导和模板。部署需要使用你已批准的 SIEM 工具和凭据。
涵盖哪些 SIEM 平台？
参考资料讨论了 Splunk、Elasticsearch、QRadar、Microsoft Sentinel 和其他 pySigma 支持的后端。
它包含合规内容吗？
是的。它包含 PCI-DSS、NIST 800-53、ISO 27001 和 SOC 2 风格监控覆盖范围的示例。
捆绑规则可以直接用于生产环境吗？
不是。它们是起始模板，必须根据本地日志、命名约定和误报情况进行调优。
为什么会有安全警告？
一个部署示例使用了占位凭据并禁用了 TLS 验证。在任何真实使用前请替换它。

开发者详情

许可证

MIT

作者版本

v0.1.0

Skillstore 修订

r2

仓库

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/incident-response/detection-sigma

引用

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

维护新鲜度

2026/7/24

使用量

8 次下载 · 579 次浏览

文件结构

📁 assets/

📄 .gitkeep

📁 compliance-rules/

📄 iso27001-logging.yml

📄 nist-800-53-audit.yml

📄 pci-dss-monitoring.yml

📁 rule-templates/

📄 credential-access.yml

📄 lateral-movement.yml

📄 persistence.yml

📄 privilege-escalation.yml

📁 references/

📄 backend-support.md

📄 compliance-mappings.md

📄 field-modifiers.md

📄 log-source-guide.md

📄 mitre-attack-mapping.md

📄 SKILL.md

AgentSecOps 的更多技能

查看全部

相关技能

查看全部