в репозитории остался только SIEM формат и добавлены примеры фильтров

NOTICE

@@ -0,0 +1 @@
+Репозиторий основан на наборе правил из https://github.com/vxcontrol/xp-rules. По сравнению с исходным репозиторием изменена файловая структура и удалена часть дублирующихся файлов для формата EDR.

README.md

@@ -0,0 +1,3 @@
+# Open XP Rules
+
+Это открытый репозиторий с правилами на языке XP. Его цель - предоставление площадки для обмена экспертными знаниями по выявлению компьютерных атак по событиям.

common/rules_filters/examples/IsNormalizedEvent/filter.flt

@@ -0,0 +1,5 @@
+filter::IsNormalizedEvent(){
+    correlation_name = null
+    and
+    normalized = true
+} 

common/rules_filters/examples/IsNormalizedEvent/metainfo.yaml

@@ -0,0 +1,11 @@
+Filter:
+    Name:
+        ru: 'Проверка, что событие является нормализованным'
+        en: 'Check if event normalized'
+    Description: {}
+    UseAsEventName: true
+Args: {}
+Tags:
+    - event
+    - normalized
+ObjectId: LOC-RF-35030

common/rules_filters/examples/IsProcessStartEvent/filter.flt

@@ -0,0 +1,6 @@
+filter IsProcessStartEvent(string $name) {
+    filter::IsNormalizedEvent() and
+    object == "process" and
+    action == "start" and
+    match(object.name, $name)
+} 

common/rules_filters/examples/IsProcessStartEvent/metainfo.yaml

@@ -0,0 +1,17 @@
+Filter:
+    Name:
+        ru: 'Проверка, что событие про запуск процесса'
+        en: 'Check if event is process start'
+    Description: {}
+    UseAsEventName: true
+Args:
+    name:
+        Type: String
+        Name:
+            ru: 'Имя исполняемого файла'
+            en: 'Process image file name'
+        Default:
+Tags:
+    - system
+    - process
+ObjectId: LOC-RF-35031