Sigma Rules

Définition

Les Sigma Rules constituent un standard ouvert de description de règles de détection destiné aux SIEM et systèmes de gestion de logs, permettant d'exprimer une logique de détection de menace de manière générique, indépendante du produit de destination, au format YAML lisible et versionnable. Une règle Sigma décrit les conditions permettant d'identifier un comportement suspect — par exemple une commande PowerShell encodée en base64, caractéristique de techniques d'évasion, ou un pattern d'événements Windows correspondant à une technique MITRE ATT&CK spécifique — en spécifiant la source de log concernée, les champs à examiner et les conditions logiques de déclenchement. Un moteur de conversion (sigmac, historiquement, remplacé par le projet pySigma et l'outil sigma-cli) traduit ensuite cette règle générique dans le langage de requête natif du SIEM cible : Splunk SPL, Elastic Query DSL, Microsoft Sentinel KQL, QRadar AQL, entre autres, évitant aux équipes de sécurité de réécrire manuellement leurs détections pour chaque plateforme et facilitant le partage communautaire de règles éprouvées. Le dépôt public SigmaHQ centralise des milliers de règles contribuées par la communauté, couvrant un large éventail de techniques d'attaque documentées. Sigma s'est imposé comme équivalent des règles YARA pour l'analyse de logs, jouant un rôle central dans les pratiques de threat hunting, la détection standardisée et le partage d'intelligence de détection entre organisations et CERT.