Reguła Sigma
Ogólny, niezależny od producenta format reguł detekcji w logach — „YARA dla logów”. Reguła Sigma opisuje w YAML podejrzony wzorzec w danych logów i można ją przetłumaczyć na język zapytań dowolnego SIEM (Splunk, Elastic, Sentinel).
Problem: każdy SIEM ma własny język zapytań, więc reguła napisana dla Splunka nie działa w Elasticu, a wymiana między organizacjami się komplikuje. Sigma to rozwiązuje: regułę piszesz raz w ustandaryzowanym YAML („jeśli zdarzenie utworzenia procesu ma image=powershell.exe, a wiersz poleceń zawiera -enc…”), a konwerter tłumaczy ją na składnię docelowego narzędzia. Zyski: wymiana (społeczność publikuje tysiące reguł Sigma dla znanych technik, często zmapowanych na MITRE ATT&CK), przenośność (zmiana SIEM bez przepisywania reguł) i współpraca wokół detekcji. Różni się od YARA (dopasowuje pliki i pamięć) — Sigma dopasowuje logi i zdarzenia. Razem pokrywają detekcję opartą odpowiednio na plikach i na logach. De facto standard wymienialnej detekcji w logach. Powiązane z regułą YARA i taktyką MITRE ATT&CK.