rsigma：一个用于安全团队的Sigma到AI检测工程工具包
rsigma，由Timescale开发，是一个开源检测工程工具包，将Sigma规则工作流程引入AI原生操作。该工具允许AI代理和工程师通过模型上下文协议服务器编写、检查和评估检测逻辑，并对实时或历史日志进行规则评估。关键组件包括Sigma解析器和检查器、有状态关联引擎、LSP服务器和流式运行时。安全工程师和SOC团队获得了一个检测即代码的工作流程，用于验证和部署检测。
你实际上可以用它做什么任务？
该工具针对完整的检测生命周期：编写 Sigma 规则、静态验证、转换和运行时评估。它通过 MCP 服务器暴露 Sigma 工具链，以便 AI 代理可以生成和运行检测。用例包括通过 LSP 服务器进行 IDE 辅助的规则编写，将 Sigma 转换为 SIEM 原生查询，以及使用接受 HTTP 或 NATS 日志的流式守护进程进行实时检测。
其输出和检查在实践中有多可靠？
rsigma 根据 Sigma v2.1.0 规范验证 Sigma 规则，并在其 linter 中提供超过 85 个内置检查，提供确定性的诊断以便在部署前使用。状态相关引擎支持滑动窗口、分组和时间链以进行多事件检测。性能声明称在现代硬件上支持每秒超过 100 万个事件的无状态检测，这影响规则在大规模上生成可操作匹配的速度。
它接受什么文件格式和集成？
转换框架使用可插拔后端将 Sigma 规则转换为 PostgreSQL/TimescaleDB 和其他 SIEM 语言的 SQL，从而实现与 30 多个平台后端的集成。MCP 服务器模型使该工具与任何符合 MCP 的客户端兼容，分发以跨平台二进制文件和 Docker 镜像的形式提供，支持在容器化和传统环境中的部署。
它是否可以在没有特殊工具的情况下融入现有的安全工作流程？
该工具通过 LSP 服务器提供 IDE 支持，具有实时诊断和补全功能，以及用于摄取遥测数据的流式守护进程。这些元素映射到典型的 DevSecOps 管道：在编辑器中编写规则、在 CI 期间进行 linting，以及用于流式日志的生产运行时。该项目还对容器镜像进行签名，并记录 SLSA Build L3 来源，解决需要构建来源的团队的供应链考虑。
rsigma 非常适合采用 AI 辅助的检测即代码的团队
对于希望实现 AI 辅助规则编写和可编程检测管道的安全工程师和 SOC 团队来说，rsigma 是一个实用的选择，因为它将 Sigma 规则工具与基于 MCP 的代理访问集成，并提供生产运行时。预计将生成的规则与人工审核相结合，以处理有争议或高风险的警报，并计划在现代硬件上进行部署，以满足所述的吞吐量目标。
