SigmaHQ/sigma

项目介绍

Sigma 是一种开放签名格式，用来描述日志中值得关注的事件，常被类比为网络流量领域的 Snort、文件领域的 YARA。这个仓库是其主要规则库：提供 3000 多条 YAML 格式的检测规则，分为通用检测、威胁狩猎、新兴威胁、合规和占位规则几类。规则不绑定具体厂商，一条规则可以转换成多种 SIEM、EDR 产品的查询语句。

它适合检测工程师、威胁狩猎人员和其他防御安全从业者，用统一结构编写、交换检测方法，而不必各自维护零散的搜索查询。

快速使用

1. 阅读入门指南和 Sigma 规则规范，了解 YAML 规则的结构。
2. 从最新发布页下载规则包，或直接浏览规则目录，例如通用检测规则和威胁狩猎规则。
3. 用官方 Sigma CLI 把规则转换成目标 SIEM 的查询语言，也可以使用网页转换器 sigconverter.io 或 Detection Studio。
4. 如果要集成到自己的工具链，使用 pySigma。

使用约束

• 规则描述的是检测逻辑，不是可直接执行的查询；转换结果取决于目标后端和日志源映射。
• 通用规则与具体威胁无关，新兴威胁规则时效性强、可能过时；占位规则只有在转换或使用时才有具体含义。
• 仓库内容采用 Detection Rule License 1.1，并非标准 OSI 许可证。
• 检测工程中出现误报是正常现象，项目通过 issue 模板收集误报报告和新规则建议。

HotRepo 点评

2026-11-14，该项目进入 Python 日榜第 14 名，当天新增 12 Star，累计 11,506 Star、2,943 Fork。单次快照不足以判断趋势，但符合一个长期项目的特点：核心价值在规则库本身，而不是快速迭代的应用。README 列出的集成方从 VirusTotal、MISP 到 Security Onion、QRadar，说明这一格式的使用范围已超出本仓库。