企业安全团队在 SIEM 与数据湖等多套日志仓库中检测攻击时，面临签名开发耗时、查询语言不兼容、字段命名差异导致转换易出错三大问题。Sigma 作为开源项目，提供通用规则语言、超千条内置规则与多目标转换工具，实现一次编写、多平台复用。
核心架构：语言规范、规则库与转换器
Sigma 由三部分组成：定义通用规则结构的语言规范；收录超一千条涵盖多种攻击技术的规则仓库；以及将 Sigma 规则转译为 Splunk、Elastic、KQL 等多种查询语言的转换工具。规则采用 YAML 编写，包含元数据、日志源定义、检测逻辑（字段值匹配与条件组合）及补充信息五大段。转换器以 pySigma 形式发布，可通过 `git clone https://github.com/SigmaHQ/pySigma.git` 本地部署，原文未给出具体支持的目标平台完整列表。
实战示例：CVE-2020-0688 检测规则
以活跃利用的 Exchange 漏洞 CVE-2020-0688 为例，Sigma 规则将博客中描述的利用特征映射为 Web 服务器日志字段匹配：元数据给出标题、唯一标识与上下文说明；日志源锁定 webserver；检测段通过定义关联 HTTP 请求路径、参数等字段值，再用 condition 组合为完整判断逻辑。这种结构使分析师无需重写查询即可在不同后端复用同一检测逻辑，原文未给出具体转换后的查询语句对比数据。
适用场景与局限
Sigma 解决了并购导致的多仓库共存、许可证限制导致的冷热日志分离等场景下的规则移植难题。但规则编写仍需对目标日志字段有深入理解，转换器对复杂关联查询的支持程度原文未给出具体数据；规则库覆盖面虽广，但新型攻击技术的规则更新频率原文未给出具体数据。
对运维与网络工程师而言，Sigma 降低了跨平台检测规则的维护成本，让威胁情报共享不再受限于特定 SIEM 语法。接入 pySigma 后，团队可统一规则开发流程，将精力集中在检测逻辑本身而非语法转换上。
原文: APNIC Blog（2021-10-20）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog