Sigma kuralını sorguya çevirmek

SPL bir kuralı yalnız Splunk'ta çalıştırır, KQL yalnız Microsoft ürünlerinde. Bir SOC birden çok araç kullanıyorsa her kuralı her dilde ayrı ayrı yazmak zaman kaybettirir. Sigma tam bu sorunu çözer: aracı belirtmeyen, YAML dosyası olarak yazılan bir kural biçimidir ve sonradan istenen sorgu diline çevrilir. Bir Sigma kuralı beş temel alan taşır: title kuralın adı, logsource hangi kaynaktan veri geldiği, detection hangi koşulun arandığı, falsepositives bilinen yanlış pozitif nedenleri, level ise önem derecesidir.

detection alanı iki parçadan oluşur. selection, aranan alan-değer çiftlerini listeler: EventID: 4625 gibi. condition ise hangi selection'ların hangi mantıkla birleşeceğini söyler; en yalın hali condition: selection'dır ve yalnız o seçimin sağlanmasını ister. Birden çok selection tanımlayıp condition: selection1 and not selection2 gibi mantık kurman da mümkündür. logsource alanı category, product ve service alt alanlarıyla verinin nereden geldiğini tarif eder; örneğin product: windows, service: security.

title: SSH veya RDP Kaba Kuvvet Denemesi
id: 8f2a1e40-889b-4b7a-9d2e-2f7c9a410099
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4625
  condition: selection
falsepositives:
  - Unutulan sifre nedeniyle tekrarlanan hatali giris
level: medium

Bu kural tek başına hiçbir sorguyu çalıştırmaz; yalnız aranan koşulu tarif eder. sigma-cli adlı araç bu YAML dosyasını okur ve hedef backend'e göre gerçek sorguya çevirir: sigma convert -t splunk kural.yml komutu SPL üretir, -t kusto ise KQL üretir. Aynı kural her iki dile de çevrilebildiği için ekip kuralı bir kez yazar, kullandığı SIEM değişse bile kuralı yeniden yazmaz. Çeviri motoru arka planda pySigma kütüphanesini kullanır ve her backend için ayrı bir eşleme tablosu taşır.