Sigma
Generisches Format für Erkennungsregeln
Sigma — Generic Detection Rule Format
Sigma ist ein offenes, herstellerneutrales Format, um Erkennungsregeln für Logdaten zu beschreiben — gewissermaßen das, was YARA für Dateien ist, für Log-Ereignisse. Eine in Sigma formulierte Regel lässt sich über Werkzeuge in die Abfragesprache verschiedener SIEM-Systeme übersetzen. So werden Erkennungslogiken austauschbar und unabhängig vom konkreten Produkt teilbar.
Historie & Fakten. Vor Sigma war Erkennungslogik in der jeweiligen, proprietären SIEM-Sprache eingeschlossen — eine gute Regel ließ sich nicht ohne Weiteres mit anderen teilen oder auf ein anderes System übertragen. Sigma beschreibt Regeln in einem einfachen, lesbaren YAML-Format und überlässt die Übersetzung in die Zielsprache einem Konverter. Eine gepflegte, öffentliche Regelbasis erlaubt es der Community, neue Angriffstechniken schnell als geteilte Erkennung verfügbar zu machen.
Ausblick & Empfehlung. Sigma passt eng zu ATT&CK: Regeln lassen sich auf konkrete Techniken kartieren und so Abdeckungslücken sichtbar machen. Für Organisationen mit heterogener oder wechselnder SIEM-Landschaft ist die Herstellerunabhängigkeit ein strategischer Vorteil — die investierte Erkennungslogik bleibt bei einem Plattformwechsel erhalten. Geteilte Sigma-Regeln sind zudem ein praktischer Weg, von der Erfahrung anderer zu profitieren.