Le regole Sigma sono regole di rilevamento leggibili dall'uomo per i log di sicurezza. Descrivono comportamenti sospetti in un formato comune, come accessi falliti, avvii insoliti di processi o modelli noti degli aggressori, e possono essere tradotte in query per diversi SIEM e altri strumenti di rilevamento.
Sono importanti perché aiutano i team a scrivere i rilevamenti una sola volta e a riutilizzarli su più piattaforme, riducendo il lock-in e արագizzando la condivisione. Nelle difese reali, gli analisti usano contenuti Sigma per rilevare attività dannose nei log degli endpoint, della rete o delle identità. Negli attacchi, gli avversari possono cercare di eludere queste regole modificando i comandi, usando strumenti legittimi o mimetizzandosi nel normale comportamento. Regole Sigma efficaci dipendono da un parsing pulito, campi normalizzati e una taratura attenta per evitare falsi positivi e avvisi mancati.