> DETECTION_ENGINEERING.INIT("SIGMA");

Sigma Rules

Sigma — это универсальный формат правил для описания событий в логах. Он позволяет описывать методы обнаружения в нейтральном формате инструментов, которые затем можно конвертировать в поисковые запросы для SIEM-систем (Wazuh, ELK, Splunk).

Neutral Format

Написание правил один раз в формате YAML и использование их в любой SIEM системе через конвертер (sigmac).

> format: yaml_agnostic

Log Aggregation

Описывает логику поиска в полях (EventID, ProcessName, CommandLine) независимо от источника данных.

> sources: sysmon_windows

Community Repo

Доступ к тысячам готовых правил для обнаружения новейших TTPs и эксплойтов.

> repo: github_sigmahq

Sigma Rule Example (YAML):

title: Suspicious PowerShell Download
logsource:
    product: windows
    service: powershell
detection:
    selection:
        EventID: 4104
        ScriptBlockText|contains:
            - 'Net.WebClient'
            - 'DownloadFile'
    condition: selection
falsepositives:
    - Administrative scripts
level: medium

Tools & Workflow: