Sigma Rules

Syntaxe Sigma

title: Suspicious PowerShell Download
status: stable
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains|all:
      - 'powershell'
      - 'downloadstring'
  condition: selection
level: high

Avantages

• Indépendant du SIEM (write once, deploy everywhere)
• Communauté active (5000+ règles dans le repo SigmaHQ)
• Intégration native dans de nombreux outils de threat hunting

Conversion

sigma-cli (pySigma) convertit les règles en requêtes Splunk SPL, Elastic DSL, Microsoft KQL, etc.