Regola Sigma
Formato di regola generico e indipendente dal fornitore per il rilevamento nei log: «YARA per i log». Una regola Sigma descrive in YAML un modello sospetto nei dati di log e può essere tradotta nel linguaggio di query di qualsiasi SIEM (Splunk, Elastic, Sentinel).
Il problema: ogni SIEM ha il proprio linguaggio di query, quindi una regola scritta per Splunk non funziona in Elastic e condividerla tra organizzazioni diventa difficile. Sigma lo risolve: la regola si scrive una volta in un formato YAML standardizzato («se un evento di creazione processo ha image=powershell.exe e la riga di comando contiene -enc...») e un convertitore la traduce nella sintassi dello strumento di destinazione. I vantaggi: condivisione (la comunità pubblica migliaia di regole per tecniche note, spesso mappate su MITRE ATT&CK), portabilità (si cambia SIEM senza riscrivere tutto) e collaborazione. Si distingue da YARA, che confronta file e memoria: Sigma confronta log ed eventi. Insieme coprono il rilevamento su file e su log.