- Hayabusaの
countルールを相関ルールに更新した。 (@yamatosecurity)
- バグ修正:
rules/config/regex/LOLBAS_paths.txtを削除したため、２つのルールがエラーを起こしていた。ルールが外部のファイルを参照しないように修正した。 (#730) (@yamatosecurity)
- ルール内部で正規表現の単語リスト (
regexesとallowlistフィールド) を使用することを推奨しない。その代わりに、正規表現はルール内の通常のリストに格納される。 (#725) (@yamatosecurity)
- windash修飾子(例:
|windash|contains)は、Hayabusaのバージョン2.15.0からwindashをネイティブにサポートしたため、互換性のあるルールに変換せず、そのままにしている。 (#646) (@fukusuket)
proven_rules.txtを更新した。 (@YamatoSecurity)
- 新しく作成されたルールには、新しいUUIDv4 IDが割り当てられる。(#629) (@fukusuket)
logsource_mapping.pyが、near条件でルールを作成していたバグを修正した。(#632) (@fukusuket)logsource_mapping.pyのリファクタリングとユニットテストの追加。(#627) (@fukusuket)exclude_rules.txtの更新。(@fukusuket)
- 変換後ルールに、新しいUUIDv4を割り当てるようにした。 (#629) (@fukusuket)
- コメントを残すように修正したときのリグレッションで、
nullが空文字に変換されていた。nullを正しく変換するようにした。 |contains|windashを利用可能な形式に変換するようにした。
- Sigmaルールのコメントを残すようにした。以前は変換後に削除されていた。(#568) (@fukusuket)
- Sigma変換バックエンドのパッケージ管理は Poetry 、静的コード分析は Ruff で実行するようにした。(#567) (@fukusuket)
- ビルトインWindowsイベントログ (
Security EID 4657) を検出するために、レジストリ ルール (service::registry_add、registry_set、registry_event) のフィールドマッピングサポートを追加した。以前は、Sysmon (「EID 12、13、14」) ログのみが検出していた。 (#476) (@fukusuket) - Hayabusa がまだサポートしていないフィールド修飾子を使用するルールを無視するためのチェックも追加した。 (例:
|expand) (#553, #554) (@fukusuket)
category: antivirusに対応した。 (#456) (@fukusuket)
process_creationルールのフィールドマッピングがチェックされるようになった。
Security 4688イベント用に作成されていたprocess_creationルールのうち60個がSysmon 1にしか存在しないフィールドを探していたので、必要なかった。
これらの互換性のないSecurity 4688ルールは作成されなくなり、処理時間が短縮される。
また、IntegrityLevel、Userなどのフィールドが正しいフィールド名とデータ型にマッピングされるようになり、より正確な結果が得られるようになった。
貢献者: Fukusuke Takahashi
詳細: #445
ルールコンバータを完全に書き換え、logsourceをChannelとEventIDに変換するだけで、他は元のSigmaルールのままとした。 (#396) (@fukusuket)
これにより、変換されたルールを読むのが非常に楽になり、処理の速度も向上する。
Sigmaからルールを変換する際、sigmacツールが非推奨で更新されなくなったため、設定ファイルを本レポジトリでホスティングするようにした。
deprecatedとunsupportedのSigmaルールも、hayabusa-rulesリポジトリに追加されるようになった。
base64offset|containsを使用するルールに対応した。
null値を持つフィールドが入っているルールが正しく変換されない不具合を修正した。
上流で正規表現を修正したため、regex crateで動作するようにSigmaルール変換時の|reフィールドの正規表現の修正を行わないようにした。
Simgaルールを毎日自動で更新。
ルールのファイル名にチャンネル名を記載する。
日本語フィールドを廃止した: title_jp, details_jp, description_jp