Cyber Security Academy · 강의

YARA의 용도

파일과 메모리의 패턴 일치

YARA의 용도은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 1번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

악성 코드 패턴 매칭

YARA는 패턴을 기반으로 파일과 메모리를 식별하고 분류하는 도구이자 규칙 언어입니다. 분석 담당자들은 이를 악성 코드 연구를 위한 패턴 매칭 만능 도구라고 부릅니다.

YARA 규칙은 텍스트 또는 바이너리 패턴과 논리 조건을 설명하고, 엔진은 대상을 스캔하여 일치 항목을 보고합니다. 이를 통해 분석 담당자의 발견 결과를 재사용 가능하고 자동화된 탐지로 연결할 수 있습니다.

파일과 네트워크 시그니처 비교

YARA는 네트워크 IDS를 대체하는 것이 아니라 보완합니다.

Snort/Suricata는 네트워크를 통해 흐르는 트래픽을 검사합니다.
YARA는 저장된 상태나 메모리에 있는 콘텐츠를 검사합니다. 디스크의 파일, 프로세스 메모리, 이메일 첨부 파일, 압축 파일 콘텐츠가 그 예입니다.

IDS는 전송 중인 다운로드를 포착할 수 있지만, YARA는 격리된 샘플, 포렌식 이미지 또는 실행 중인 프로세스에서 같은 계열을 포착할 수 있습니다. 해당 계열이 모니터링되는 링크를 전혀 거치지 않았더라도 가능합니다.

악성 코드 계열 분류

YARA의 핵심 사용 사례는 계열 분류입니다. 악성 코드 제작자는 여러 빌드에서 코드, 문자열, 암호화 키, 뮤텍스를 재사용합니다. YARA 규칙은 이러한 공통 특성을 포착하므로, 다시 컴파일할 때마다 해시가 바뀌더라도 한 계열의 모든 변형이 하나의 규칙과 일치합니다.

따라서 해시 기반 탐지가 실패하는 상황에서도 YARA는 견고합니다. 1바이트 변경은 해시를 무력화하지만 잘 작성된 패턴 규칙은 무력화하지 못합니다.

메모리에서 헌팅하기

패킹되고 난독화된 악성 코드는 디스크에서 실제 코드를 숨기지만 실행하려면 메모리에 압축을 풀어야 합니다. 실행 중인 프로세스 메모리나 메모리 덤프를 YARA로 스캔하면 패킹된 파일에서는 보이지 않는 문자열과 구조를 확인할 수 있습니다.

이 때문에 사고 대응 담당자는 YARA로 RAM을 스캔합니다. 디스크에 저장된 샘플이 완전히 난독화되어 있어도 복호화된 구성, C2 주소, 페이로드가 메모리에 나타나기 때문입니다.

YARA의 실행 위치

YARA는 보안 스택 전반에 통합됩니다.

EDR 에이전트는 공유 규칙 집합으로 엔드포인트를 스캔합니다
샌드박스(Cuckoo, CAPE)는 실행된 샘플을 분류합니다
메일 및 웹 게이트웨이는 첨부 파일과 다운로드를 스캔합니다
위협 인텔리전스 플랫폼은 샘플 저장소 전반을 헌팅합니다
포렌식 도구는 디스크 이미지와 메모리 덤프를 스캔합니다

하나의 규칙 형식을 여러 적용 지점에서 사용할 수 있다는 점이 바로 탐지 엔지니어들이 중요하게 여기는 이식성의 가치입니다.

레트로헌팅

VirusTotal과 같은 플랫폼에서는 과거 데이터 모음에 YARA 규칙을 실행할 수 있으며, 이러한 작업을 레트로헌팅이라고 합니다. 새로 발견된 계열을 위한 규칙을 작성하고 레트로헌팅을 수행하면 오래된 샘플, 관련 변형, 캠페인의 시간 흐름을 찾아낼 수 있습니다.

이를 통해 단일 샘플에서 공격자의 도구 사용 이력과 인프라 재사용에 관한 정보를 얻을 수 있습니다.

스캔 실행

가장 간단한 방식으로 YARA CLI는 규칙 파일과 대상을 입력받습니다. 탐지될 때마다 규칙 이름과 일치한 파일을 출력합니다.

# Scan a directory recursively
yara -r rules/apt_family.yar /samples/

# Scan a running process by PID
yara rules/cobaltstrike.yar 4821

좋은 규칙과 나쁜 규칙

YARA의 강력한 기능을 활용하려면 규율이 필요합니다. 잘못 작성된 규칙은 대규모 환경에서 문제를 일으킵니다.

너무 광범위함 -> 오탐이 분석 담당자에게 쏟아지고 정상 파일이 격리될 수 있습니다
너무 구체적임 -> 하나의 샘플과만 일치하고 해당 계열을 놓칩니다
너무 느림 -> 무거운 정규 표현식이나 지나치게 짧은 원자 문자열이 전체 환경 스캔을 느리게 합니다

목표는 신뢰할 수 있을 만큼 구체적이고, 변형을 포착할 만큼 일반적이며, 어디서나 실행할 수 있을 만큼 효율적인 규칙을 만드는 것입니다.

오래 유지되는 지표 선택

제작자가 적은 비용으로 변경하기 어렵거나 변경할 가능성이 낮은 특성을 기준으로 일치시킵니다.

사용자 지정 암호화 루틴과 고유한 상수
특징적인 코드 조각과 압축 해제 로직
하드코딩된 뮤텍스 이름, 사용자 에이전트 또는 PDB 경로
파일 형식의 구조적 이상

수천 개의 정상 프로그램에서 공유하는 일반적인 라이브러리 문자열이나 컴파일러 산출물은 피해야 합니다. 이러한 항목은 잡음을 만들고 쉽게 변경할 수 있기 때문입니다.

공유와 표준 규칙 집합

YARA의 이식성 덕분에 규칙은 방어 담당자들 사이에서 공유되는 공통 자산이 됩니다. 엄선된 공개 및 상용 모음은 모든 규칙을 처음부터 작성하지 않아도 되도록 출발점을 제공합니다.

YARA-Rules 커뮤니티 저장소와 공급업체 연구 블로그
IR에서 널리 사용되는 Florian Roth의 signature-base
계열 및 APT 규칙이 포함된 ISAC 및 공급업체 정보 피드

타사 규칙을 배포하기 전에 검토합니다. 오탐 위험을 확인하고, 충돌을 피하도록 네임스페이스를 지정하며, 정상 소프트웨어 데이터 모음에서 테스트해야 합니다. 검증하지 않은 외부 규칙은 환경에서 잡음을 일으킬 수 있기 때문입니다.

YARA의 한계

YARA는 만능 해결책이 아닙니다.

YARA는 동작이 아니라 패턴과 일치시키며, 샘플을 실행하지 않습니다
디스크에서 강력한 패킹이나 암호화가 적용되면 메모리 스캔 전까지 모든 내용을 숨길 수 있습니다
다형성 및 변형성 코드는 정적 문자열을 무력화할 수 있습니다
공격자가 규칙을 입수하면 규칙을 우회하도록 설계할 수 있습니다

YARA를 독립적인 방어 수단으로 사용하지 말고, 동작 기반 탐지, 샌드박싱, 네트워크 모니터링과 함께 하나의 계층으로 사용합니다.

빠른 확인

작업에 맞는 도구를 선택합니다.

요약

YARA는 파일과 메모리를 위한 패턴 매칭 도구입니다.

네트워크 IDS를 보완하면서 콘텐츠를 저장된 상태 또는 메모리에서 분류하고 식별합니다
공통 특성을 바탕으로 악성 코드 계열을 탐지하므로 해시 변경에 강합니다
메모리 스캔을 통해 정적 분석에서 놓치는 압축 해제된 코드를 확인할 수 있습니다
EDR, 샌드박스, 게이트웨이 및 포렌식 도구에서 실행됩니다
레트로헌팅을 통해 하나의 샘플에서 캠페인 정보를 얻을 수 있습니다
좋은 규칙은 구체적이고 일반적이며 효율적입니다. 오래 유지되는 지표를 기준으로 일치시킵니다
YARA는 동작이 아니라 패턴과 일치하므로 하나의 계층으로 사용합니다

다음 주제는 규칙 구문 자체입니다.

자주 묻는 질문

“YARA의 용도” 강의는 무료인가요?

네 — “YARA의 용도” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“YARA의 용도”에서 뭘 배우나요?

파일과 메모리의 패턴 일치 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 1번째 강의입니다.

“YARA의 용도” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Cyber Security Academy(으)로 돌아가기