Kegunaan YARA

Salah satu kegunaan teras YARA ialah pengelasan keluarga. Pengarang perisian hasad menggunakan semula kod, rentetan, kunci penyulitan dan mutex dalam pelbagai binaan. Peraturan YARA menangkap ciri sepunya ini supaya semua varian sesuatu keluarga dipadankan oleh satu peraturan, walaupun cincangan berubah pada setiap kompilasi semula.

Ini menjadikan YARA tahan lasak apabila pengesanan berasaskan cincangan gagal: perubahan satu bait menggagalkan cincangan tetapi bukan peraturan corak yang ditulis dengan baik.

Perisian hasad yang dipadatkan dan disamarkan menyembunyikan kod sebenarnya pada cakera tetapi mesti menyahbungkus ke dalam memori untuk berjalan. Mengimbas memori proses aktif atau longgokan memori dengan YARA mendedahkan rentetan dan struktur yang tidak kelihatan dalam fail yang dipadatkan.

Inilah sebabnya penyiasat insiden mengimbas RAM dengan YARA: konfigurasi yang dinyahsulitkan, alamat C2 dan muatan muncul dalam memori walaupun sampel pada cakera disamarkan sepenuhnya.

YARA disepadukan merentasi tindanan keselamatan:

• Ejen EDR mengimbas titik akhir dengan set peraturan dikongsi
• Kotak pasir (Cuckoo, CAPE) mengelaskan sampel yang telah dijalankan
• Get laluan e-mel dan sesawang mengimbas lampiran serta muat turun
• Platform risikan ancaman memburu merentasi repositori sampel
• Alat forensik mengimbas imej cakera dan longgokan memori

Satu format peraturan pada banyak titik penguatkuasaan—itulah nilai kebolehalihan yang sangat dihargai oleh jurutera pengesanan.

Platform seperti VirusTotal membolehkan Anda menjalankan peraturan YARA terhadap korpus sejarah mereka, suatu amalan yang dipanggil pemburuan retrospektif. Tulis peraturan untuk keluarga yang baru ditemui, jalankan pemburuan retrospektif, dan temui sampel lama, varian berkaitan serta garis masa kempen.

Ini mengubah satu sampel menjadi risikan tentang sejarah alatan pelaku dan penggunaan semula infrastrukturnya.

Pada tahap paling asas, CLI YARA menerima fail peraturan dan sasaran. Ia memaparkan nama peraturan serta fail yang dipadankan bagi setiap padanan.

Keupayaan YARA memerlukan disiplin. Peraturan yang ditulis dengan buruk menimbulkan masalah pada skala besar.

• Terlalu umum -> positif palsu membanjiri penganalisis dan boleh mengkuarantin fail yang tidak berbahaya
• Terlalu khusus -> sepadan dengan satu sampel tetapi terlepas keluarga tersebut
• Terlalu perlahan -> ungkapan nalar berat atau atom kecil melambatkan imbasan seluruh persekitaran

Matlamatnya ialah peraturan yang cukup khusus untuk dipercayai, cukup umum untuk menangkap varian dan cukup cekap untuk dijalankan di mana-mana.

Padankan ciri yang sukar atau tidak mampu diubah oleh pengarang dengan kos rendah:

• Rutin penyulitan tersuai dan pemalar unik
• Serpihan kod tersendiri dan logik nyahbungkus
• Nama mutex, agen pengguna atau laluan PDB yang dikodkan secara tetap
• Anomali struktur dalam format fail

Elakkan padanan berdasarkan rentetan pustaka generik atau artifak pengkompil yang dikongsi oleh ribuan program tidak berbahaya; semua itu menghasilkan bunyi bising dan boleh diubah dengan mudah.

Kebolehalihan YARA menjadikan peraturan sebagai medium bersama dalam kalangan pihak pertahanan. Koleksi awam dan komersial yang dipilih dengan teliti memberikan permulaan yang baik, berbanding menulis setiap peraturan dari awal.

• Repositori komuniti YARA-Rules dan blog penyelidikan vendor
• signature-base milik Florian Roth, yang digunakan secara meluas dalam IR
• Suapan ISAC dan vendor dengan peraturan keluarga serta APT

Tapis peraturan pihak ketiga sebelum menggunakannya: semak risiko positif palsu, letakkan ruang nama untuk mengelakkan perlanggaran dan uji terhadap korpus perisian baik Anda, kerana peraturan luaran yang tidak ditapis boleh menghasilkan bunyi bising dalam persekitaran Anda.

YARA bukan penyelesaian ajaib.

• Ia memadankan corak, bukan tingkah laku; ia tidak menjalankan sampel
• Pemadatan/penyulitan berat pada cakera boleh menyembunyikan segala-galanya sehingga imbasan memori dilakukan
• Kod polimorfik dan metamorfik boleh menggagalkan rentetan statik
• Musuh yang memperoleh peraturan Anda boleh mereka bentuk cara untuk memintasnya

Gunakan YARA sebagai satu lapisan bersama pengesanan tingkah laku, kotak pasir dan pemantauan rangkaian, bukan sebagai pertahanan kendiri.

YARA ialah padanan corak untuk fail dan memori:

• Ia mengelaskan dan mengenal pasti kandungan yang disimpan atau berada dalam memori, sebagai pelengkap kepada IDS rangkaian
• Ia mengesan keluarga perisian hasad berdasarkan ciri sepunya dan tahan terhadap perubahan cincangan
• Pengimbasan memori mendedahkan kod yang telah dinyahbungkus dan terlepas daripada analisis statik
• Ia dijalankan dalam EDR, kotak pasir, get laluan dan alat forensik
• Pemburuan retrospektif mengubah satu sampel menjadi risikan kempen
• Peraturan yang baik adalah khusus, umum dan cekap; padankan penunjuk tahan lama
• YARA memadankan corak, bukan tingkah laku, jadi gunakanlah sebagai satu lapisan

Seterusnya: sintaks peraturan itu sendiri.