Meningkatkan Skala dan Mengotomatiskan Pemindaian

Rule yang bekerja di laptop Anda juga harus berjalan di ribuan titik akhir, aliran surat elektronik, dan umpan sampel, secara andal tanpa melumpuhkan kinerja. Menskalakan YARA adalah persoalan rekayasa yang mencakup distribusi, kinerja, dan umpan balik.

Pelajaran ini membahas penyetelan kinerja, pengelolaan rule, alur otomatis, dan cara mengoperasikan YARA sebagai kemampuan deteksi berkelanjutan, bukan alat sekali pakai.

YARA membangun atom (substring bita pendek) untuk setiap string dan memindai atom terlebih dahulu, lalu hanya mengevaluasi kondisi lengkap pada kandidat. Rule yang tidak menyediakan atom yang baik bagi mesin akan berjalan lambat.

• String yang lebih pendek dari sekitar 4 bita menghasilkan atom yang lemah dan dipindai dengan lambat
• Ekspresi reguler tanpa jangkar dan karakter pengganti yang berlebihan membutuhkan banyak sumber daya
• Penjangkaran dengan offset dan filesize mengurangi pekerjaan sejak awal

Ukur kinerja rule yang lambat dan tulis ulang bagian yang bermasalah sebelum menerapkannya dalam skala besar.

Jebakan kinerja yang umum dan solusinya:

• Ganti string yang sangat pendek atau seluruhnya berisi karakter pengganti dengan string yang lebih panjang dan khas
• Tempatkan rule mahal di balik prasyarat murah (bita ajaib, ukuran berkas)
• Utamakan bita tetap daripada ekspresi reguler; jangkar ekspresi reguler dengan ketat
• Gunakan rule global untuk melewati seluruh jenis berkas yang tidak relevan

Satu rule yang buruk dapat mendominasi total waktu pemindaian di seluruh lingkungan, jadi perlakukan kinerja sebagai kriteria peninjauan.

Mengurai teks aturan pada setiap pemindaian membuang-buang waktu. Kompilasi aturan sekali menjadi objek biner, lalu muat objek tersebut di mana pun diperlukan.

Aturan terkompilasi dimuat dengan cepat dan memastikan setiap titik akhir menjalankan logika tervalidasi yang sama persis. Kompilasi ulang sebagai bagian dari alur Anda setiap kali aturan berubah, lalu distribusikan artefak terkompilasi tersebut.

Perlakukan aturan YARA sebagai kode, seperti Sigma. Simpan aturan tersebut dalam kendali versi dengan peninjauan, pengujian, dan CI.

• Satu rule per berkas, ditata berdasarkan keluarga atau sumber
• CI memeriksa sintaks, memeriksa kinerja, dan menguji terhadap kumpulan data
• Linter seperti yaraLint menemukan kesalahan umum
• Beri tag dan ruang nama pada aturan untuk menghindari benturan nama di antara berbagai umpan

Dengan demikian, kekacauan akibat ribuan aturan yang tidak dikelola, saling bertentangan, atau duplikat dapat dicegah.

Sebagian besar perusahaan menjalankan YARA melalui EDR, yang dapat mendorong kumpulan aturan ke agen dan memindai penyimpanan serta memori sesuai permintaan atau berdasarkan jadwal. Dengan begitu, YARA mandiri tidak perlu diterapkan di setiap komputer.

Jika EDR tidak mendukung YARA, kerangka kerja agen dan alat orkestrasi dapat mendistribusikan kumpulan aturan terkompilasi serta mengumpulkan hasil secara terpusat. Bagaimanapun, pemindaian dikendalikan secara terpusat, bukan dilakukan secara manual di setiap komputer.

Karena malware yang dipadatkan hanya menampakkan dirinya di dalam memori, jadwalkan pemindaian memori di seluruh armada, bukan hanya pemindaian disk. Agen EDR dapat memindai memori proses secara berkala atau sebagai respons terhadap peristiwa yang mencurigakan.

Pemindaian memori lebih membebani sistem daripada pemindaian disk, jadi seimbangkan frekuensi dan cakupannya: lakukan secara terus-menerus pada host bernilai tinggi dan dipicu oleh peristiwa di tempat lain, untuk mengendalikan dampak terhadap kinerja.

Otomatiskan YARA pada titik-titik tempat berkas memasuki lingkungan Anda:

• Gerbang surat/web memindai lampiran dan unduhan secara langsung
• Lingkungan terisolasi (CAPE, Cuckoo) menjalankan YARA pada artefak yang dibuat dan dibongkar
• Alur penyerapan berkas memindai unggahan sebelum penyimpanan
• CI untuk repositori malware mengklasifikasikan sampel baru secara otomatis

Setiap kecocokan dikirimkan ke SIEM/SOAR untuk korelasi dan respons.

Perluas skala ke arah luar maupun ke arah dalam. Dorong aturan bernilai tinggi ke platform intelijen ancaman untuk perburuan retrospektif pada sampel historis, sehingga varian terkait dan riwayat kampanye dapat ditemukan.

Masukkan kembali hal-hal yang Anda pelajari ke dalam kumpulan aturan: varian baru yang ditemukan selama perburuan retrospektif menyempurnakan aturan, yang kemudian menangkap gelombang berikutnya. Siklus tertutup ini mengubah YARA menjadi sistem deteksi yang terus hidup dan berkembang.

Pemindaian yang tidak menghasilkan apa pun selain baris log adalah pemborosan. Hubungkan temuan ke proses respons.

• Keluarkan hasil terstruktur (nama aturan, berkas, host, hash) ke the SIEM
• Picu buku pedoman SOAR: isolasi host, kumpulkan the sampel, dan perkaya dengan intelijen
• Lakukan karantina otomatis hanya untuk aturan dengan tingkat keyakinan tinggi yang telah melalui pengujian menyeluruh
• Arahkan temuan dengan tingkat keyakinan lebih rendah kepada analis untuk ditriase

Hubungkan tingkat keyakinan respons dengan kematangan aturan, dengan meniru disiplin peringatan lalu pemblokiran yang digunakan pada aturan IPS.

Kelola kumpulan aturan sebagai program yang dilengkapi metrik:

• Tingkat temuan dan tingkat positif palsu untuk setiap aturan
• Biaya pemindaian setiap aturan di seluruh armada
• Cakupan berdasarkan keluarga dan teknik ATT&CK

Pensiunkan aturan yang sudah usang, perbaiki aturan yang terlalu banyak menghasilkan temuan, dan lakukan pengujian ulang secara berkala pada perangkat lunak yang tidak berbahaya. Aturan mengalami penurunan efektivitas seiring berkembangnya perangkat lunak dan malware, sehingga pemeliharaan harus dilakukan terus-menerus, bukan secara opsional.

Menjalankan YARA dalam skala besar:

• Pahami atom; hindari string yang terlalu pendek, karakter pengganti seluruhnya, dan regex tanpa jangkar
• Gunakan jangkar dengan offset/ukuran berkas dan tempatkan di balik prasyarat global
• Kompilasi aturan (yarac) dan distribusikan blob biner
• Kelola aturan seperti kode: kontrol versi, CI, linting, dan penspasian nama
• Pindai titik akhir melalui EDR; jadwalkan pemindaian memori, bukan hanya disk
• Integrasikan YARA ke dalam gerbang, lingkungan terisolasi, dan alur penyerapan; kirimkan hasil ke SIEM/SOAR
• Gunakan perburuan retrospektif dan masukkan kembali temuannya ke dalam aturan
• Ukur tingkat temuan, tingkat FP, dan biaya pemindaian; lakukan pemeliharaan secara terus-menerus

Anda telah menyelesaikan kursus YARA untuk Deteksi Malware.