rsigma

项目概述

RSigma 是一个完整的检测工程工具包，用于 Sigma 检测标准。它包含解析器、评估引擎、规则转换、流式运行时、linter、CLI、MCP 和 LSP 服务器。RSigma 将 Sigma YAML 规则解析为强类型 AST，编译为优化的匹配器，并实时评估日志事件。它支持多种日志格式，包括 JSON、syslog（RFC 3164/5424）、logfmt、CEF、EVTX（Windows Event Log）、纯文本和 OTLP（OpenTelemetry 协议），默认自动检测。OTLP 支持允许任何 OpenTelemetry 兼容代理将日志转发到 RSigma 进行检测。

主要功能

• Sigma 解析：将 Sigma YAML 解析为强类型 AST，支持检测、关联和过滤规则
• 数组匹配（实验性）：支持嵌套事件数据中数组成员的匹配，具有 any/all 成员语义、同元素关联和位置索引
• 规则起草：从示例事件与基线语料库对比中起草检测规则
• 规则调优：从误报事件中提出规范原生过滤器，验证所有已知真阳性仍触发
• 内置 Linter：使用 85 项检查、四个严重级别、抑制、自定义标签命名空间和 14 条安全规则的自动修复来验证规则
• ADS 元数据：使用 Palantir ADS 部分记录规则，由 linter 强制执行
• LSP 服务器：提供实时诊断、补全、悬停文档、文档符号和快速修复代码操作
• pySigma 兼容处理管道：处理字段映射和后端配置
• STIX 和 TAXII 支持：用于威胁情报集成

适用人群

• 安全工程师和检测工程师
• SIEM 开发者和运维人员
• 需要 Sigma 规则管理的团队

快速上手

1. 从 GitHub Releases 下载 Linux、macOS 或 Windows（amd64 和 arm64）的预编译二进制文件
2. 或从 crates.io 安装 CLI：cargo install --locked rsigma
3. 安装 LSP 服务器：cargo install --locked rsigma-lsp
4. 使用 Docker 多架构镜像（linux/amd64、linux/arm64）
5. 使用 rsigma backend convert rules/ -t splunk 转换规则

核心优势

• 完整的 Sigma 工具链，包含解析、评估、转换和运行时
• 支持 OTLP 协议，任何 OpenTelemetry 兼容代理可转发日志进行检测
• 内置 LSP 服务器，提供编辑器内实时诊断和补全
• 开放标准：Sigma 检测规则、OpenTelemetry 日志摄入、STIX/TAXII 威胁情报

系统要求

• 操作系统：Linux、macOS、Windows
• 支持架构：amd64、arm64