Cyber Security Academy · Pelajaran

Menskalakan dan Mengautomatikkan Pengimbasan

Menjalankan YARA merentas seluruh persekitaran.

Pelajaran 4 daripada 413 langkah

Menskalakan dan Mengautomatikkan Pengimbasan ialah pelajaran Cyber Security Academy percuma di CoddyKit. Ini ialah pelajaran 4 daripada 4. Sebanyak 3 pelajaran dalam laluan pembelajaran ini boleh dibaca sepenuhnya secara percuma — selepas itu, CoddyKit PRO membuka akses kepada semua pelajaran, serta latihan praktikal dengan penyunting kod terbina dalam dan tutor kecerdasan buatan yang tersedia 24/7. Pelajaran ini merupakan sebahagian daripada laluan pembelajaran Cyber Security Academy, dan kemajuan anda disegerakkan merentas web serta aplikasi CoddyKit. Kursus Cyber Security Academy merangkumi sejumlah 4 pelajaran.

Daripada Satu Hos kepada Seluruh Persekitaran

Rule yang berfungsi pada komputer riba anda juga mesti berjalan merentas ribuan titik akhir, aliran mel dan suapan sampel dengan boleh dipercayai tanpa melumpuhkan prestasi. Penskalaan YARA ialah masalah kejuruteraan yang melibatkan pengedaran, prestasi dan maklum balas.

Pelajaran ini merangkumi penalaan prestasi, pengurusan peraturan, saluran paip automatik dan cara mengendalikan YARA sebagai keupayaan pengesanan berterusan, bukannya alat sekali guna.

Asas Prestasi

YARA membina atom (subrentetan bait yang pendek) untuk setiap rentetan dan mengimbas atom terlebih dahulu, lalu hanya menilai syarat penuh pada calon. Rule yang menghalang enjin daripada memperoleh atom yang baik akan menjadi perlahan.

Rentetan yang lebih pendek daripada ~4 bait menghasilkan atom lemah dan diimbas dengan perlahan
Ungkapan nalar tanpa tambatan dan terlalu banyak kad bebas memerlukan kos pengiraan yang tinggi
Penambatan menggunakan ofset dan filesize mengurangkan kerja lebih awal

Ukur prestasi rule yang perlahan dan tulis semula rule bermasalah sebelum digunakan pada skala besar.

# Report per-rule scan timing to find slow rules
yara --print-stats -r rules.yar /samples/
yara -a 10 -r rules.yar /samples/   # warn on rules slower than 10s

Mengelakkan Corak Perlahan

Perangkap prestasi yang biasa dan penyelesaiannya:

Gantikan rentetan kecil atau yang hanya mengandungi kad bebas dengan rentetan yang lebih panjang dan tersendiri
Hadkan rule mahal dengan prasyarat murah (bait ajaib, saiz fail)
Utamakan bait tetap berbanding ungkapan nalar; tambat ungkapan nalar dengan ketat
Gunakan rule global untuk melangkau terus jenis fail yang tidak berkaitan

Satu rule yang buruk boleh menguasai keseluruhan masa pengimbasan di seluruh persekitaran, jadi anggap prestasi sebagai kriteria semakan.

global rule OnlyPE { condition: uint16(0) == 0x5A4D }

Menyusun Kompilasi Peraturan

Menghuraikan teks rule pada setiap pengimbasan membazirkan masa. Kompil rule sekali menjadi gumpalan binari dan muatkannya di semua tempat.

Rule terkompil dimuatkan dengan pantas dan memastikan setiap titik akhir menjalankan logik sahih yang sama. Kompil semula sebagai sebahagian daripada saluran paip anda setiap kali rule berubah, kemudian edarkan artifak terkompil itu.

yarac -r detections/ ruleset.yarac   # compile
yara -C ruleset.yarac /target/        # scan with compiled rules

Pengurusan Peraturan pada Skala Besar

Anggap peraturan YARA sebagai kod, sama seperti Sigma. Simpannya dalam kawalan versi dengan semakan, pengujian dan CI.

Satu rule bagi setiap fail, disusun mengikut keluarga atau sumber
CI memeriksa sintaks, menyemak prestasi dan menguji terhadap korpus
Pemeriksa seperti yaraLint mengesan kesilapan biasa
Gunakan teg dan ruang nama pada peraturan untuk mengelakkan perlanggaran nama antara suapan

Ini menghalang kekacauan yang disebabkan oleh ribuan peraturan yang tidak diurus, bercanggah atau pendua.

Mengimbas Titik Akhir dengan EDR

Kebanyakan perusahaan menjalankan YARA melalui EDR mereka, yang boleh menolak set peraturan kepada ejen serta mengimbas cakera dan memori mengikut permintaan atau jadual. Dengan cara ini, YARA kendiri tidak perlu digunakan pada setiap hos.

Jika EDR tidak menyokong YARA, rangka kerja ejen dan alat pengaturan boleh mengedarkan set peraturan terkompil serta mengumpulkan hasil secara berpusat. Dalam kedua-dua keadaan, pengimbasan dikawal secara berpusat dan bukannya dilakukan secara manual pada setiap hos.

Pengimbasan Memori pada Skala Besar

Oleh sebab perisian hasad yang dipadatkan hanya mendedahkan dirinya dalam memori, jadualkan pengimbasan memori merentas seluruh armada, bukan pengimbasan cakera sahaja. Ejen EDR boleh mengimbas memori proses secara berkala atau sebagai tindak balas kepada peristiwa yang mencurigakan.

Pengimbasan memori lebih membebankan berbanding pengimbasan cakera, jadi seimbangkan kekerapan dan skop: lakukan secara berterusan pada hos bernilai tinggi, dan dicetuskan oleh peristiwa di tempat lain, untuk mengawal kesan terhadap prestasi.

Integrasi Saluran Paip

Automatikkan YARA pada titik kemasukan fail ke persekitaran anda:

Get laluan mel/web mengimbas lampiran dan muat turun secara sebaris
Kotak pasir (CAPE, Cuckoo) menjalankan YARA pada artifak yang dijatuhkan dan dinyahbungkus
Saluran paip pengingesan fail mengimbas muat naik sebelum penyimpanan
Integrasi berterusan untuk repositori perisian hasad mengelaskan sampel baharu secara automatik

Setiap padanan menyalurkan maklumat ke SIEM/SOAR untuk korelasi dan respons.

# Example: scan every new file dropped into an intake bucket
yara -C ruleset.yarac "$NEW_FILE" && route_to_soar "$NEW_FILE"

Pemburuan Retrospektif dan Gelung Risikan

Perluaskan skala ke luar dan juga ke dalam. Tolakkan peraturan bernilai tinggi ke platform risikan ancaman untuk pemburuan retrospektif merentas sampel sejarah, sekali gus mendedahkan varian berkaitan dan sejarah kempen.

Masukkan semula perkara yang dipelajari ke dalam set peraturan: varian baharu yang ditemui semasa pemburuan retrospektif menajamkan peraturan, yang kemudiannya menangkap the gelombang seterusnya. Gelung tertutup ini menjadikan YARA sebagai pengesanan yang hidup dan terus bertambah baik.

Pengendalian Padanan dan Respons

Imbasan yang tidak menemukan apa-apa selain satu baris rekod adalah sia-sia. Hubungkan padanan dengan respons.

Hasilkan keluaran berstruktur (nama peraturan, fail, hos, nilai cincangan) ke SIEM
Cetuskan buku panduan SOAR: asingkan hos, kumpulkan sampel dan perkayakan dengan risikan
Laksanakan kuarantin automatik hanya untuk peraturan yang mempunyai keyakinan tinggi dan telah diuji dengan baik
Halakan padanan berkeyakinan rendah kepada penganalisis untuk pengutamaan dan penyiasatan awal

Kaitkan keyakinan respons dengan kematangan peraturan, dengan mencontohi disiplin amaran-kemudian-sekat yang digunakan bersama peraturan IPS.

yara -C ruleset.yarac --print-meta "$F" \
  | jq -R . | send_to_siem

Pengukuran dan Penyelenggaraan

Urus set peraturan sebagai satu program yang mempunyai metrik:

Kadar padanan dan kadar positif palsu bagi setiap peraturan
Kos pengimbasan bagi setiap peraturan pada seluruh armada
Liputan mengikut keluarga dan teknik ATT&CK

Hentikan peraturan yang usang, baiki peraturan yang menghasilkan terlalu banyak hingar, dan uji semula pada perisian sah secara berkala. Peraturan merosot apabila perisian dan perisian hasad berkembang, jadi penyelenggaraan adalah berterusan, bukannya pilihan.

Semakan Pantas

Gunakan pertimbangan penskalaan pada pelancaran.

Jawab dalam pelajaran interaktif

Ringkasan

Pengendalian YARA pada skala besar:

Fahami atom; elakkan rentetan pendek, aksara bebas sepenuhnya dan ungkapan nalar tanpa sauh
Sauhkan dengan ofset/saiz fail dan lindungi di sebalik prasyarat global
Kompilkan peraturan (yarac) dan edarkan gumpalan binari
Urus peraturan sebagai kod: kawalan versi, integrasi berterusan, pemeriksaan lint dan penamaan ruang nama
Imbas titik akhir melalui EDR; jadualkan pengimbasan memori, bukan cakera sahaja
Integrasikan YARA ke dalam get laluan, kotak pasir dan saluran paip pengingesan; salurkan maklumat ke SIEM/SOAR
Gunakan pemburuan retrospektif dan masukkan semula penemuan ke dalam peraturan
Ukur kadar padanan, kadar FP dan kos pengimbasan; lakukan penyelenggaraan secara berterusan

Anda telah menamatkan kursus YARA untuk Pengesanan Perisian Hasad.

Percuma untuk bermula

Pelajari Cyber Security Academy dengan tutor kecerdasan buatan — percuma

Tulis dan jalankan kod sebenar dalam pelayar anda, dapatkan bantuan segera daripada tutor kecerdasan buatan yang tersedia 24/7, dan sambung semula dari tempat anda berhenti di web atau dalam aplikasi.

Kursus: 76
Pelajaran: 303

Mula belajar secara percuma Lihat kursus penuh

Soalan Lazim

Adakah pelajaran “Menskalakan dan Mengautomatikkan Pengimbasan” percuma?

Ya — sebanyak 3 pelajaran dalam laluan pembelajaran Cyber Security Academy, termasuk “Menskalakan dan Mengautomatikkan Pengimbasan”, boleh dibaca sepenuhnya secara percuma di web ini. Selepas itu, CoddyKit PRO membuka akses kepada semua pelajaran, serta latihan interaktif dengan penyunting kod terbina dalam dan tutor kecerdasan buatan yang tersedia 24/7. Kursus Cyber Security Academy merangkumi sejumlah 4 pelajaran.

Apakah yang akan saya pelajari dalam “Menskalakan dan Mengautomatikkan Pengimbasan”?

Menjalankan YARA merentas seluruh persekitaran. Anda berlatih Cyber Security Academy menggunakan kod praktikal yang dijalankan terus dalam pelayar, manakala tutor kecerdasan buatan 24/7 menjawab soalan anda semasa anda mengikuti pelajaran.

Adakah saya memerlukan pengalaman untuk memulakan Cyber Security Academy?

Tiada pengalaman terdahulu diperlukan. Pembelajaran Cyber Security Academy di CoddyKit disusun untuk pelajar daripada peringkat pemula hingga lanjutan, jadi anda boleh bermula di sini atau dari awal dan belajar mengikut kadar anda sendiri. Ini ialah pelajaran 4 daripada 4.

Berapa lamakah pelajaran “Menskalakan dan Mengautomatikkan Pengimbasan” diambil?

Kebanyakan pelajaran CoddyKit mengambil masa kira-kira 5–10 minit. Setiap pelajaran ringkas dan interaktif, jadi anda boleh membuat kemajuan secara berterusan dan menyambung tepat dari tempat anda berhenti di web atau aplikasi.

Bolehkah saya menulis dan menjalankan kod dalam pelajaran Cyber Security Academy ini?

Ya. Setiap pelajaran Cyber Security Academy menyertakan penyunting kod terbina dalam, jadi anda boleh menulis dan menjalankan kod sebenar terus dalam pelayar serta menerima maklum balas kecerdasan buatan serta-merta — tanpa memerlukan persediaan setempat.

Semua pelajaran dalam kursus ini

Kegunaan YARA
Sintaks Peraturan YARA
Memburu dengan Rentetan dan Heksadesimal
Menskalakan dan Mengautomatikkan Pengimbasan

← Kembali ke Cyber Security Academy