Sigmaルール とは？

YARAはマルウェアファイルそのものを調べるルールだよ。Sigmaはログやイベント、つまり「何が起きたか」の記録を調べるためのルールなんだ。

そうだよ。でも困るのが、SplunkとElasticとMicrosoft Sentinelでは書き方がバラバラなこと。SigmaはYAML形式の共通フォーマットで書いておけば、各SIEMの構文に自動変換できるんだ。

たとえば「Windowsイベントログに管理者権限の作成が記録されたら検知する」といった条件をYAMLで記述するよ。`detection` フィールドに検索条件、`logsource` にどのログを対象にするかを書く形式だね。

SigmaHQという公式GitHubリポジトリに数千件の既製ルールが公開されているよ。セキュリティコミュニティが日々更新しているから、最新の攻撃手法に対応したルールをすぐ取り込めるんだ。

正解だよ。各SigmaルールにはMITRE ATT&CKのテクニックIDがタグ付けされていることが多くてね。「この検知ルールはどの攻撃手法をカバーしているか」を可視化することで、自組織の検知カバレッジを体系的に管理できるんだ。