evt2sigma

Sigma 规则转换器的日志条目

它能做什么

它从文件中获取日志条目并尝试创建Sigma规则。
它针对 Windows EVTX 事件日志的 XML 格式进行了优化，但可以通过为相应的日志类型添加新的正则表达式来轻松修改以支持更多日志格式。

状态

当前状态是“alpha”。它更像是一个公共 POC，以便其他人可以学习和扩展。

用法

evt2sigma.py [-h] [-f file] [-o out-file] [-fc field-count] [--debug]
                    [--trace] [-a] [-r] [-l] [-t] [-d] [-p] [-s] [-c]
Event 2 Sigma Converter
optional arguments:
  -h, --help       show this help message and exit
  -f file          Read the log entry from a file
  -o out-file      Write rule to an output file
  -fc field-count  use the top X fields
  --debug          Debug output
  --trace          Trace output
Fields:
  -a               Author name
  -r               Reference
  -l               Level
  -t               Title
  -d               Description
  -p               Product (e.g. windows, linux)
  -s               Service (e.g. security, sysmon)
  -c               Category (e.g. proxy)

截屏