Graylog 是一个免费开源的日志管理平台，用于收集、搜索和分析日志数据。
81631137JavaOther更新于 13小时前
SigmaHQ/sigma
一种与厂商无关的日志检测规则通用格式，并附带大量可直接使用的 Sigma 规则库。
- Star
- 11,332
- Fork
- 2,890
- 未关闭 Issue
- 283
- 最近提交
- 3天前
这是什么？
Sigma 是一种开放的通用签名格式，用于描述针对日志事件的检测逻辑。规则以简单的 YAML 编写，适用于任何类型的日志文件，可以理解为日志领域的 Snort，或文件领域的 YARA。其目标是让分析人员只需描述一次检测方法，即可以标准形式与他人共享。
本仓库是 Sigma 的主规则库，包含 3000 多条由检测工程师社区维护的检测规则。规则分为通用检测、威胁狩猎、新兴威胁、合规和占位符等类别。通过官方的 Sigma CLI 和 pySigma 库，规则可以转换为多种 SIEM 和 EDR 平台的查询语言。
规则内容采用 Detection Rule License (DRL) 1.1 发布，打包好的规则集可在项目的 release 页面下载。
核心功能
- 01超过 3000 条经社区审阅的检测与狩猎规则，采用 YAML 格式。
- 02与厂商无关的规则语法，适用于任意日志来源。
- 03规则分为通用检测、威胁狩猎、新兴威胁、合规和占位符等集合。
- 04通过 Sigma CLI 和 pySigma 转换为 SIEM 与 EDR 查询语言。
适用场景
- 需要为 SIEM 或 EDR 部署获取初始规则集的检测工程师。
- 在日志中寻找可疑行为模式的威胁猎人。
- 希望使用统一、可移植格式编写自有检测规则的团队。
- 需要将日志覆盖情况对应到合规框架的安全团队。
快速上手
- 1
从发布页面下载规则包
- 2
使用官方 Sigma CLI 将规则转换为你的 SIEM 查询语言
使用前须知
- 规则以 Detection Rule License 1.1 发布，这是一种自定义许可证，而非标准开源许可证。
- 本仓库提供的是检测规则而非可独立运行的程序，使用时需要转换工具或 SIEM。
收录于专题
标签
常见问题
- sigma 是什么？
- 一种与厂商无关的日志检测规则通用格式，并附带大量可直接使用的 Sigma 规则库。 Sigma 是一种开放的通用签名格式，用于描述针对日志事件的检测逻辑。规则以简单的 YAML 编写，适用于任何类型的日志文件，可以理解为日志领域的 Snort，或文件领域的 YARA。其目标是让分析人员只需描述一次检测方法，即可以标准形式与他人共享。
- sigma 可以免费使用吗？用的什么许可证？
- sigma 以 Other 许可证开源。用于商业产品前，请先确认许可证条款。
- sigma 还在维护吗？
- 活跃维护中。sigma 最近一次提交是在 2026年10月21日。
- sigma 适合用来做什么？
- 需要为 SIEM 或 EDR 部署获取初始规则集的检测工程师。 在日志中寻找可疑行为模式的威胁猎人。 希望使用统一、可移植格式编写自有检测规则的团队。 需要将日志覆盖情况对应到合规框架的安全团队。
- sigma 怎么安装和运行？
- 从发布页面下载规则包 使用官方 Sigma CLI 将规则转换为你的 SIEM 查询语言
- 在哪里获取 sigma？
- 源代码和安装说明在 GitHub 上：https://github.com/SigmaHQ/sigma
概要由 AI 根据项目 README 生成；GitHub 数据每日更新。
相关项目
一款自托管网页应用，从原始文本中提取 IoC 并通过多个威胁情报服务查询其信誉。
69677PythonMIT更新于 5天前
可自托管的开源 AI 安全运营中心，融合告警、用 LLM 智能体分诊，并保留可审计的决策记录。
3220343PythonMIT更新于 前天
终端日志查看器，可合并、追踪并用正则和 SQL 检索多个日志文件。
1.1万+3 本周414C++BSD-2-Clause更新于 5天前
基于 Go 的终端界面日志分析工具，提供实时图表、日志级别统计、过滤和可选的 AI 分析。
2788+2 本周116GoMIT更新于 上个月