Sigma-regel
Een generiek, leverancieronafhankelijk regelformaat voor logdetectie: "YARA voor logs". Een Sigma-regel beschrijft in YAML een verdacht patroon in logdata en laat zich vertalen naar de querytaal van elke SIEM (Splunk, Elastic, Sentinel).
Het probleem: elke SIEM heeft een eigen querytaal, dus een detectieregel voor Splunk werkt niet in Elastic en delen tussen organisaties is lastig. Bij Sigma schrijf je de regel één keer in gestandaardiseerde YAML ("procesaanmaak met image=powershell.exe en een commandoregel met -enc …") en een converter maakt er de syntaxis van het doelsysteem van. Winst: delen (de community publiceert duizenden regels, vaak gekoppeld aan MITRE ATT&CK), overdraagbaarheid bij een SIEM-wissel en samenwerking rond detectie. Anders dan YARA, dat bestanden en geheugen matcht, matcht Sigma logs en events.