Sigma : créer des règles de détection réutilisables entre plusieurs SIEM

Chaque outil de supervision a son propre langage de requête : SPL pour Splunk, KQL pour Microsoft Sentinel et Defender, Lucene ou ES|QL pour Elastic… Une détection écrite pour l’un doit être réécrite pour l’autre, et tout est à refaire le jour où l’on change d’outil. Sigma résout ce problème : c’est un format ouvert, en YAML, pour décrire une détection une fois, puis la convertir automatiquement vers le langage de votre SIEM. Le dépôt communautaire SigmaHQ compte plusieurs milliers de règles, mises à jour en continu. Voici comment les utiliser et écrire les vôtres.

L’essentiel en 30 secondes

• Une règle Sigma décrit une source de journaux, des critères de sélection et une condition, avec des métadonnées (niveau, faux positifs, techniques MITRE ATT&CK).
• L’outil sigma-cli (basé sur pySigma) convertit les règles vers Splunk, Elastic, Microsoft, Loki et bien d’autres.
• SigmaHQ publie régulièrement de nouvelles règles : la version du 1er juillet 2026 en apportait 20 nouvelles et 61 mises à jour, dont la détection de l’exploitation de la faille Netlogon CVE-2026-41089.
• Une règle doit être testée sur vos propres journaux avant d’alerter quiconque.

Anatomie d’une règle Sigma

Exemple : détecter l’ajout d’un membre aux groupes les plus sensibles de l’Active Directory, en s’appuyant sur les identifiants de sécurité (SID) plutôt que sur les noms, qui changent selon la langue de Windows (« Admins du domaine » ou « Domain Admins »).

title: Ajout d'un membre à un groupe d'administration Active Directory
id: 3b8f6c2e-5d41-4a7b-9e0c-7f2a1d4c6b90
status: experimental
description: Détecte l'ajout d'un compte aux groupes Admins du domaine ou Administrateurs
references:
    - https://attack.mitre.org/techniques/T1098/
author: MPCSI
date: 2026-10-11
tags:
    - attack.persistence
    - attack.privilege-escalation
    - attack.t1098
logsource:
    product: windows
    service: security
detection:
    selection_event:
        EventID:
            - 4728
            - 4732
            - 4756
    selection_group_domain_admins:
        TargetSid|endswith: '-512'
    selection_group_builtin_admins:
        TargetSid: 'S-1-5-32-544'
    condition: selection_event and 1 of selection_group_*
falsepositives:
    - Opérations d'administration planifiées et documentées
level: high

• logsource indique le type de journal ; le convertisseur le traduit en index ou en table selon votre plateforme.
• detection contient des sélections nommées et une condition qui les combine.
• Les modificateurs (|endswith, |contains, |re, |all…) précisent la comparaison.
• level et falsepositives aident l’analyste à prioriser.

Un deuxième exemple : bureautique qui lance un interpréteur

title: Application Office lançant un interpréteur de commandes
id: 9a1d7e44-2c3b-4f6e-8d5a-0b7c9e2f1a36
status: experimental
description: Un document piégé déclenche souvent PowerShell, cmd ou mshta depuis Word, Excel ou Outlook
author: MPCSI
date: 2026-10-11
tags:
    - attack.execution
    - attack.t1204.002
logsource:
    category: process_creation
    product: windows
detection:
    selection_parent:
        ParentImage|endswith:
            - '\winword.exe'
            - '\excel.exe'
            - '\powerpnt.exe'
            - '\outlook.exe'
    selection_child:
        Image|endswith:
            - '\powershell.exe'
            - '\pwsh.exe'
            - '\cmd.exe'
            - '\mshta.exe'
            - '\wscript.exe'
            - '\cscript.exe'
    condition: all of selection_*
falsepositives:
    - Macros métier légitimes (à documenter et exclure)
level: high

La catégorie process_creation fonctionne aussi bien avec l’événement Windows 4688 qu’avec l’événement 1 de Sysmon.

Convertir vers votre SIEM

# Installer l'outil et le module de votre plateforme
pip install sigma-cli
sigma plugin list
sigma plugin install splunk

# Convertir une règle ou un dossier entier
sigma convert --target splunk --pipeline splunk_windows regles/ajout-groupe-admin.yml

# Même principe pour Elastic
sigma plugin install elasticsearch
sigma convert --target lucene --pipeline ecs_windows regles/

Le pipeline adapte les noms de champs Sigma à ceux de votre plateforme. C’est l’étape qui demande le plus d’attention : un champ mal traduit produit une requête valide… qui ne trouve jamais rien.

Une méthode pour démarrer

Sigma décrit des comportements dans les journaux ; pour rechercher des fichiers, l’outil complémentaire est YARA. Et pour savoir quels journaux activer côté Windows, voir les événements à surveiller en priorité.

Questions fréquentes

Faut-il un SIEM commercial pour utiliser Sigma ?

Non. Sigma se convertit vers de nombreuses plateformes, y compris open source (Elastic, Loki, OpenSearch). Certains outils, comme Chainsaw ou Hayabusa, appliquent même les règles Sigma directement à des fichiers de journaux Windows, ce qui est précieux en investigation.

Les règles SigmaHQ sont-elles fiables ?

Elles sont relues par la communauté, mais leur pertinence dépend de votre environnement. Le statut (stable, test, experimental) et le niveau indiquent leur maturité.

Comment éviter de casser les règles à chaque mise à jour ?

Gardez vos exclusions dans des fichiers ou des filtres séparés plutôt que de modifier les règles d’origine, afin de pouvoir récupérer les nouvelles versions sans conflit.

Sigma couvre-t-il le cloud ?

Oui, des règles existent pour Microsoft 365, Entra ID, AWS, Google Cloud, ainsi que pour Linux, macOS et les équipements réseau.

Sources

• SigmaHQ, dépôt officiel des règles Sigma.
• SigmaHQ, version r2026-07-01 des règles.
• SigmaHQ, spécification du format Sigma.
• SigmaHQ, sigma-cli.
• MITRE ATT&CK, T1098 Account Manipulation.

Besoin d’un accompagnement ?

MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous mettons en place la détection et la supervision de sécurité dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.