Правило Sigma.

Sigma — это открытый формат инженерии детектирования, созданный Florian Roth и Thomas Patzke, который позволяет описать логовое обнаружение один раз и перевести его во множество диалектов запросов: Splunk SPL, Elastic ES|QL, Microsoft Sentinel KQL, Google Chronicle YARA-L и другие. Для обобщённых логовых событий он играет ту же роль, что YARA для файлов, а Snort/Suricata для сетевого трафика: переносимый и разделяемый общий язык, чтобы обнаружение, опубликованное одной командой, работало в стеке другой.

Правило — это YAML из трёх ключевых частей: метаданные (UUID-id, level от informational до critical и tags, сопоставленные с техниками MITRE ATT&CK), logsource (product, service или category, например process_creation) и блок detection из именованных селекторов, объединённых выражением condition. Значения полей поддерживают модификаторы вроде contains, startswith и re для регулярных выражений.

Конвертация перешла от устаревшего инструмента sigmac к модульной библиотеке pySigma и её CLI sigma, которые применяют пайплайны для каждого бэкенда, переотображая имена полей в схему конкретного продукта. Репозиторий SigmaHQ на GitHub собирает тысячи правил сообщества, охватывающих журналы событий Windows, Sysmon, Linux auditd, AWS CloudTrail, Okta и Kubernetes. В Sigma также добавили правила корреляции для подсчётов, порогов и временных последовательностей.

flowchart LR
  A[Аналитик пишет правило Sigma в YAML] --> B[logsource плюс detection плюс condition]
  B --> C[Конвертер pySigma плюс пайплайн бэкенда]
  C --> D1[Splunk SPL]
  C --> D2[Sentinel KQL]
  C --> D3[Elastic ES-QL]
  C --> D4[Chronicle YARA-L]
  D1 --> E[Развёрнуто как детект SIEM или EDR]
  D2 --> E
  D3 --> E
  D4 --> E
  E --> F[Оповещение при совпадающих логовых событиях]