Sigma
Простыми словами
Проще говоря, «Sigma» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Sigma» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При разборе цепочки событий аналитик SOC обращается к понятию «Sigma»: проверяет контекст актива и учётной записи, подтверждает признак и выбирает действие по сценарию реагирования.
Не путать с
- YARAYARA — язык и инструмент правил для классификации и поиска файлов по текстовым и бинарным признакам.
- SysmonSysmon — системная служба Microsoft Sysinternals, расширяющая журналирование событий Windows для мониторинга безопасности.
- Поведенческая аналитикаПоведенческая аналитика — анализ последовательностей действий для обнаружения отклонений и признаков злоумышленной активности.
Как это работает
- Описать логику обнаруженияАвтор задаёт условия по нормализованным полям событий в правиле Sigma.
- Добавить контекстФиксируются источники журналов, уровень, ложные срабатывания и связанные техники.
- Преобразовать под платформуКонвертер адаптирует правило к языку конкретной SIEM или поисковой системы.
- Проверить на данныхРезультат тестируют, настраивают и сопровождают как версионируемый аналитический код.
Частые вопросы
Проще говоря, «Sigma» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Sigma» применяют на практике?В практике ИБ термин «Sigma» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Sigma» отличается от близких понятий?«Sigma» описывает следующее: открытый формат правил выявления, позволяющий описывать логику детектирования независимо от конкретной SIEM. «Sysmon» означает: системная служба Microsoft Sysinternals, расширяющая журналирование событий Windows для мониторинга безопасности. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.