Scalare e automatizzare le scansioni

Una regola che funziona sul laptop deve poter essere eseguita anche su migliaia di endpoint, flussi di posta e feed di campioni, in modo affidabile e senza compromettere le prestazioni. Scalare YARA è un problema di ingegneria incentrato su distribuzione, prestazioni e feedback.

Questa lezione tratta l'ottimizzazione delle prestazioni, la gestione delle regole, le pipeline automatizzate e il modo di gestire YARA come una capacità di rilevamento continua, anziché come uno strumento occasionale.

YARA costruisce un atomo, una breve sottostringa di byte, per ogni stringa e cerca prima gli atomi, valutando le condizioni complete solo sui candidati. Le regole che non forniscono al motore buoni atomi sono lente.

• Le stringhe più corte di circa 4 byte producono atomi poco efficaci e scansioni lente
• Le regex non ancorate e i caratteri jolly in eccesso sono costosi
• L'ancoraggio con offset e filesize riduce il lavoro in anticipo

Analizzi le regole lente e riscriva quelle problematiche prima di distribuirle su larga scala.

Problemi comuni di prestazioni e relative soluzioni:

• Sostituisca le stringhe molto brevi o composte solo da caratteri jolly con stringhe più lunghe e distintive
• Faccia precedere le regole costose da una precondizione a basso costo, come magic bytes o filesize
• Preferisca byte fissi alle regex e ancori strettamente le regex
• Utilizzi regole global per saltare completamente i tipi di file irrilevanti

Una sola regola inefficiente può dominare il tempo totale di scansione di un'intera infrastruttura, quindi consideri le prestazioni un criterio di revisione.

Analizzare il testo delle regole a ogni scansione spreca tempo. Compili le regole una volta in un blocco binario e lo carichi ovunque.

Le regole compilate si caricano rapidamente e garantiscono che ogni endpoint esegua esattamente la stessa logica convalidata. Le ricompili nella pipeline ogni volta che cambiano e distribuisca l'artefatto compilato.

Tratti le regole YARA come codice, proprio come Sigma. Le memorizzi nel controllo versione con revisione, test e CI.

• Una regola per file, organizzate per famiglia o origine
• La CI controlla la sintassi, verifica le prestazioni ed esegue i test sui corpus
• I linter come yaraLint rilevano gli errori più comuni
• Applichi tag e namespace alle regole per evitare conflitti di nomi tra feed diversi

In questo modo evita il caos di migliaia di regole non gestite, in conflitto o duplicate.

La maggior parte delle aziende esegue YARA tramite il proprio EDR, che può distribuire gli insiemi di regole agli agenti e analizzare disco e memoria su richiesta o secondo una pianificazione. In questo modo non è necessario distribuire YARA autonomamente su ogni host.

Quando l'EDR non supporta YARA, i framework per agenti e gli strumenti di orchestrazione possono distribuire l'insieme di regole compilato e raccogliere centralmente i risultati. In entrambi i casi, la scansione è controllata centralmente, non manualmente su ogni host.

Poiché il malware compresso si rivela solo in memoria, pianifichi scansioni della memoria sull'intero parco sistemi, non solo scansioni del disco. Gli agenti EDR possono analizzare periodicamente la memoria dei processi oppure farlo in risposta a un evento sospetto.

La scansione della memoria è più onerosa di quella del disco, quindi bilanci frequenza e ambito: scansioni continue sugli host di alto valore e attivate dagli eventi altrove, così da contenere l'impatto sulle prestazioni.

Automatizzi YARA nei punti in cui i file entrano nel Suo ambiente:

• Gateway di posta e web analizzano in linea gli allegati e i download
• Le sandbox (CAPE, Cuckoo) eseguono YARA sugli artefatti rilasciati e decompressi
• Le pipeline di acquisizione dei file analizzano i caricamenti prima dell'archiviazione
• La CI per i repository di malware classifica automaticamente i nuovi campioni

Ogni rilevamento viene inviato al SIEM/SOAR per la correlazione e la risposta.

Si espanda sia verso l'esterno sia verso l'interno. Inoltri le regole ad alto valore alle piattaforme di threat intelligence per il retrohunting sui campioni storici, mettendo in evidenza le varianti correlate e la storia delle campagne.

Riporti ciò che apprende nel set di regole: le nuove varianti individuate durante il retrohunt rendono la regola più precisa, che a sua volta intercetterà l'ondata successiva. Questo ciclo chiuso trasforma YARA in un rilevamento dinamico che migliora nel tempo.

Una scansione che non produce altro che una riga di log è uno spreco. Colleghi i rilevamenti alla risposta.

• Invii un output strutturato (nome della regola, file, host, hash) al SIEM
• Attivi i playbook SOAR: isoli l'host, raccolga il campione e lo arricchisca con informazioni di intelligence
• Metta automaticamente in quarantena solo in presenza di regole ad alta affidabilità e adeguatamente collaudate
• Indirizzi i rilevamenti a bassa affidabilità agli analisti per il triage

Leghi il livello di affidabilità della risposta alla maturità della regola, seguendo la disciplina prima allerta e poi blocco usata con le regole IPS.

Gestisca il set di regole come un programma, utilizzando queste metriche:

• Tasso di rilevamento e tasso di falsi positivi per ogni regola
• Costo della scansione per regola sull'intero parco sistemi
• Copertura per famiglia e tecnica ATT&CK

Ritiri le regole obsolete, corregga quelle troppo rumorose e riesegua regolarmente i test su software legittimo. Le regole perdono efficacia con l'evoluzione del software e del malware, quindi la manutenzione è continua e non facoltativa.

Gestire YARA su larga scala significa:

• Comprendere gli atomi; evitare stringhe troppo brevi, sequenze composte interamente da wildcard ed espressioni regolari non ancorate
• Ancorare le regole con offset e dimensione del file e proteggerle con precondizioni globali
• Compilare le regole (yarac) e distribuire il blob binario
• Gestire le regole come codice: controllo versione, CI, linting e namespace
• Analizzare gli endpoint tramite EDR; pianificare scansioni della memoria, non solo del disco
• Integrare YARA in gateway, sandbox e pipeline di acquisizione; alimentare SIEM/SOAR
• Utilizzare il retrohunting e riportare i risultati nelle regole
• Misurare il tasso di rilevamento, il tasso di falsi positivi e il costo della scansione; eseguire la manutenzione continuamente

Ha completato il corso YARA per il rilevamento del malware.