search

Yamato-Security / hayabusa-rules

Curated Windows event log Sigma rules used in Hayabusa and Velociraptor.
Other
135 stars 23 forks source link

hayabusaレポジトリのtools/sigmaをhayabusa-rulesレポジトリに移動する #15

Closed hitenkoku closed 2 years ago

hitenkoku commented 2 years ago

hayabusaレポジトリにあるtools/sigmaはツール変換のためのスクリプトであるため、hayabusaレポジトリではなくhayabusa-rulesレポジトリで管理をする。

hitenkoku commented 2 years ago

@YamatoSecurity

移動はさせましたが、hayabusaがsubmoduleとして指定しているrulesフォルダ内にtools/sigmacのテスト用ymlファイルが入ってしまっているため、 hayabusa側で実行させた場合、テスト用yamlファイルも読み込んでしまう状態になっています。

そのため以下の方法でhayabusa側のexclude_rules側でtools/sigmac/のテスト用のyml用のIDを「000000000-0000-0000-0000-000000000000」とか全部ハイフンとかで固定して、読み込みを回避させるようにしたいと思いますがいかがでしょうか？

YamatoSecurity commented 2 years ago

tools/simacにymlテストファイルがあったんですね。IDを全部「000000000-0000-0000-0000-000000000000」にして、exclude_rules.txtの設定で無視する方法は良いと思います！

hitenkoku commented 2 years ago

それではその形で対応をさせていただきますね。コメントありがとうございます。