YARA
§§IBT7§§¶@definition¶YARA — язык правил и набор инструментов для поиска и классификации данных по текстовым, бинарным и структурным признакам.¶@plain¶YARA — язык правил, который описывает комбинации строк, байтовых шаблонов и условий для поиска нужных признаков в файлах, памяти или других данных. Правило помогает классифицировать объекты, но само по себе не доказывает их вредоносность.¶@use¶Аналитик выбирает устойчивые строки, байтовые шаблоны и структурные признаки, добавляет ограничения по размеру и формату и проверяет правило на вредоносной и чистой выборке. Версии правил хранятся с владельцем, источником гипотезы и результатами тестов.¶@example¶Вместо имени семейства правило сочетает уникальную строку конфигурации, PE-признак и диапазон размера. На репозитории легитимного ПО ложных совпадений нет, после чего правило запускают в EDR и хранилище образцов.¶@compare¶Sigma¦¦Sigma описывает логику обнаружения в журналах, а Snort/Suricata — сетевые сигнатуры.¤Хеш¦¦Хеш совпадает только с точным объектом, YARA может находить варианты семейства.¶@steps¶Выделить признаки¦Из образцов выбирают устойчивые и достаточно уникальные строки, байты или метаданные.¤Сформировать условие¦Признаки объединяют логикой, ограничениями формата, размера и контекста.¤Протестировать правило¦Проверяют истинные и ложные срабатывания на представительной чистой и вредоносной выборке.¤Развернуть и сопровождать¦Правило публикуют в нужных сенсорах, измеряют качество и обновляют при изменении образцов.¶@resources¶Курсы для аналитиков SOC¦https://ibcourses.ru/soc¦Курс¤Detection Engineering: правила обнаружения угроз¦https://ibcourses.ru/detection-engineering-pravila-obnaruzheniya-ugroz¦Статья¶@related¶¶@faq¶Можно ли написать YARA по одной строке?¦Можно, но общая строка часто даёт ложные срабатывания; нужны уникальность, контекст и тестовая выборка.¤YARA удаляет вредоносный файл?¦Нет. Она выдаёт совпадение; действие выполняет интегрированное средство или аналитик по отдельной политике.¤Опасно ли хранить YARA-правила публично?¦Правила могут раскрывать возможности обнаружения и чувствительные признаки; режим распространения выбирают по источнику и риску.