SIEMvsSigma Rules

SIEM

SIEM 是 SOC 的核心平台，集中收集来自防火墙、服务器、终端等各种设备的日志，通过关联分析发现安全威胁。Splunk 和 Microsoft Sentinel 是市场领导者。

Sigma Rules

Sigma 是安全检测规则的标准化格式，用 YAML 描述检测逻辑，可以转换为 Splunk、Elastic、Microsoft Sentinel 等任何 SIEM 平台的查询语句。

SIEM

• SOC 的核心分析平台
• 日志收集 → 关联分析 → 告警 → 响应
• 误报率高是最大痛点，AI 正在改善

Sigma Rules

• 安全检测规则的通用格式
• YAML 描述，可转换为任何 SIEM 查询
• 社区维护数千条检测规则

SIEM

集中收集、存储和分析安全日志以检测和响应安全威胁的平台

Sigma Rules

安全检测规则的通用描述格式，可转换为各 SIEM 平台查询

SIEM

• 企业安全事件的集中监控
• 合规审计的日志留存
• 威胁检测规则的管理和执行

Sigma Rules

• 跨 SIEM 平台的检测规则共享
• 威胁检测能力的标准化建设
• MITRE ATT&CK 覆盖率的提升

SIEM

SIEM 将分散在各处的安全日志集中到一个平台，通过预定义规则和关联分析来检测安全威胁。典型的 SIEM 部署需要接入数十种日志源：防火墙、IDS/IPS、EDR、AD、云平台等。SIEM 的核心挑战是：日志量巨大导致存储成本高、规则维护复杂、误报率居高不下。新一代 SIEM 正在引入 AI 和 UEBA（用户行为分析）来降低误报率和发现未知威胁。

Sigma Rules

Sigma 解决了安全检测规则的碎片化问题：同一个检测逻辑在 Splunk 用 SPL、在 Elastic 用 KQL、在 Sentinel 用 KQL。Sigma 用统一的 YAML 格式描述，通过转换器生成各平台的查询。SigmaHQ 仓库包含 3000+ 条社区规则，覆盖 MITRE ATT&CK 的大部分技术。