Sigma ルール.

Sigma は Florian Roth と Thomas Patzke が作成したオープンな検知エンジニアリング形式で、ログベースの検知を一度記述するだけで多くのクエリー方言へ変換できます。対応先は Splunk SPL、Elastic ES|QL、Microsoft Sentinel KQL、Google Chronicle YARA-L などです。汎用のログイベントに対して、YARA がファイルに、Snort/Suricata がネットワークトラフィックに果たす役割を担います。すなわち可搬で共有可能な共通語であり、あるチームが公開した検知を別チームのスタックでもそのまま動かせます。

ルールは YAML で、3 つの主要部分から成ります。メタデータ(UUID の id、informational から critical までの level、MITRE ATT&CK 技術に対応付ける tags)、logsource(product、service、または process_creation のような category)、そして condition 式で組み合わせた名前付きセレクターからなる detection ブロックです。フィールド値は contains、startswith、正規表現用の re などの修飾子に対応します。

変換は旧来の sigmac からモジュール式ライブラリ pySigma とその sigma CLI へ移行し、バックエンドごとのパイプラインでフィールド名を各製品のスキーマへ再マッピングします。GitHub の SigmaHQ リポジトリには、Windows イベントログ、Sysmon、Linux auditd、AWS CloudTrail、Okta、Kubernetes を対象とする数千のコミュニティルールが集まっています。Sigma には、件数・しきい値・時系列シーケンスのための**相関(correlation)**ルールも追加されました。

flowchart LR
  A[アナリストが YAML で Sigma ルールを記述] --> B[logsource と detection と condition]
  B --> C[pySigma コンバーター と バックエンド パイプライン]
  C --> D1[Splunk SPL]
  C --> D2[Sentinel KQL]
  C --> D3[Elastic ES-QL]
  C --> D4[Chronicle YARA-L]
  D1 --> E[SIEM または EDR の検知として展開]
  D2 --> E
  D3 --> E
  D4 --> E
  E --> F[一致するログイベントでアラート]