Enhancement: multi kind record condition detection in timeframe

[hitenkoku]

detecition feature of multi kind record condition in timeframe.
I think it's ok to make other search tool to hayabusa output

イベントAとイベントBが timeframe内で起こっているということを検知できる機能。
timeframeで指定された期間内にruleで指定された条件の別のレコードが存在していることを検知できるようにすると、検知ルールの幅が広がると思われます。
もしくは、hayabusa側では単純なルールとしておいて、得られたcsvからidを取得してチェックするような別ツールをつくるというのでも良いかと思っています。

[hitenkoku]

一旦作成するかを確認した上で対応するためpendingをつけておきます。
作成をしない場合はcloseしておきます。

[YamatoSecurity]

これ欲しいのですが、nearaggregatorと同じのでは？

Yamato-Security/hayabusa#484

[hitenkoku]

確認しました。hayabusaで実装するとnear aggregatorの実装の話とおなじでした。大変失礼いたしました。
near aggregatorはdeprecatedということもあるので、影響は最小限にしたほうが良いかと思いますので
hayabusaでは実装せずに別ツールで対応するという方がよさそうですかね。

[kazuminn]

correlations draft
sigma側の推奨実装の見通しがつかなければ、別ツールで実装の方がよさそうですね。

[YamatoSecurity]

悩ましいですね。本当はHayabusa側でやりたいですね。
現在Correlationsを使っているルールがどれぐらいあるか、いつ|aggregatorが実際に使われなくなるのかちょっと調べてみます。
一応draftじゃなくて、 https://github.com/SigmaHQ/sigma/wiki/Specification:-Sigma-Correlations　で正式になっているっぽいですが、まだ|aggregatorルールが残っているので、いつcorrelationsにアップデートされるだろう・・
また、correlationsになってから、変換時に|nantoka形式に変換できないかな？