Sigma Rule Writing
forensicsDéfinition
Rédaction de règles de détection Sigma (format YAML générique) converties en requêtes SIEM (Splunk, Elastic, QRadar) pour détecter les comportements d'attaquants dans les logs.
Description
La rédaction de règles Sigma permet de créer des signatures de détection comportementale au format YAML générique, indépendant des SIEM. Les règles Sigma sont ensuite converties via sigmac ou pySigma vers les langages natifs des SIEM cibles (Splunk SPL, Elastic EQL, QRadar AQL, KQL).
Usage forensique
Conversion des TTPs découverts lors d'une investigation en règles de détection réutilisables : sigma convert -t splunk -p splunk_windows malware_persistence.yml. Le référentiel SigmaHQ contient 3000+ règles couvrant MITRE ATT&CK.
Points clés
- Structure : title, status, logsource (product/service/category), detection (selection + condition), falsepositives
- pySigma backends : conversion vers 15+ plateformes SIEM depuis un même fichier source
- Correlation rules Sigma 2.0 : détection d'événements multi-logs corrélés dans une seule règle YAML
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis