Sigma 实测评：一条 YAML，两个 SIEM，3161 条规则的检测工程

先问个扎心的：你 SIEM 里躺着多少条检测规则？其中多少条从导入那天起没人调优过，天天吐误报，没人看，也不敢删。

多数同行的答案是苦笑：规则是弹药，可弹药库常年裸奔。今天聊的 Sigma 号称 SIEM 检测规则的事实标准，GitHub 11.4k star。上个月发过一篇只翻