Sigma-Regel
Ein generisches, herstellerneutrales Regelformat für Log-Erkennung — "YARA für Logs". Eine Sigma-Regel beschreibt ein verdächtiges Muster in Logdaten als YAML und lässt sich anschließend in die Abfragesprache jedes beliebigen SIEM übersetzen (Splunk, Elastic, Sentinel).
Problem: Jedes SIEM/Log-Tool hat seine eigene Abfragesprache → eine für Splunk geschriebene Erkennungsregel funktioniert nicht in Elastic, und das Teilen zwischen Organisationen wird mühsam. Sigma löst das: Die Regel wird einmal in einem standardisierten YAML-Format geschrieben ("wenn ein Prozess-Erstellungsereignis image=powershell.exe hat und die Kommandozeile -enc enthält…"), und ein Konverter übersetzt sie in die Syntax des Zielwerkzeugs. Vorteil: Teilbarkeit (die Community veröffentlicht Tausende Sigma-Regeln für bekannte Techniken, oft auf MITRE ATT&CK abgebildet), Portabilität (SIEM wechseln, ohne alle Regeln neu zu schreiben) und Zusammenarbeit bei der Erkennung. Unterscheidet sich von YARA (das Dateien/Speicher abgleicht) — Sigma trifft auf Logs/Events. Zusammen decken beide dateibasierte beziehungsweise logbasierte Erkennung ab. Ein De-facto-Standard für teilbare Log-Erkennung. Verwandt mit YARA-Regel und MITRE-ATT&CK-Taktik.