Regla Sigma
Un formato de regla genérico y neutral respecto al proveedor para la detección en logs — "YARA para logs". Una regla Sigma describe un patrón sospechoso en datos de log en YAML, y luego puede traducirse al lenguaje de consulta de cualquier SIEM (Splunk, Elastic, Sentinel).
Problema: cada SIEM/herramienta de logs tiene su propio lenguaje de consulta → una regla de detección escrita para Splunk no funciona en Elastic, y compartirla entre organizaciones se vuelve difícil. Sigma lo resuelve: se escribe la regla una vez en un formato YAML estandarizado ("si un evento de creación de proceso tiene image=powershell.exe y la línea de comandos contiene -enc..."), y un conversor la traduce a la sintaxis de la herramienta destino. Ventaja: compartir (la comunidad publica miles de reglas Sigma para técnicas conocidas, a menudo mapeadas a MITRE ATT&CK), portabilidad (cambiar de SIEM sin reescribir todas las reglas), y colaboración en torno a la detección. Se diferencia de YARA (que analiza archivos/memoria) — Sigma analiza logs/eventos. Juntas cubren la detección basada en archivos y en logs, respectivamente. Un estándar de facto para la detección de logs compartible. Relacionada con la regla YARA y la táctica MITRE ATT&CK.