YARA Ne İçin Kullanılır

YARA, dosyaları ve belleği örüntülere göre tanımlamak ve sınıflandırmak için kullanılan bir araç ve kural dilidir. Analistler onu kötü amaçlı yazılım araştırması için çok amaçlı bir İsviçre çakısı olarak tanımlar.

Bir YARA kuralı metinsel veya ikili örüntüleri ve mantıksal bir koşulu tanımlar; motor hedefleri tarar ve eşleşmeleri bildirir. Bu, analistin bulguları ile yeniden kullanılabilir, otomatik tespit arasındaki boşluğu kapatır.

YARA, ağ IDS'sinin yerini almak yerine onu tamamlar.

• Snort/Suricata ağ üzerinden geçen trafiği inceler.
• YARA, depolanan veya bellekteki içeriği inceler: diskteki dosyaları, süreç belleğini, e-posta eklerini ve arşiv içeriklerini.

Bir IDS aktarım sırasında yapılan bir indirmeyi yakalayabilir; YARA ise aynı aileyi karantinaya alınmış bir örnekte, adli bilişim imajında veya çalışan bir süreçte, izlenen bir bağlantıdan hiç geçmemiş olsa bile yakalar.

YARA'nın temel kullanım alanlarından biri aile sınıflandırmasıdır. Kötü amaçlı yazılım yazarları farklı derlemelerde kodu, dizeleri, şifreleme anahtarlarını ve karşılıklı dışlama nesnelerini yeniden kullanır. Bir YARA kuralı bu ortak özellikleri yakalar; böylece bir ailenin tüm varyantları, her yeniden derlemede karmalar değişse bile tek bir kuralla eşleşir.

Bu, karma tabanlı tespitin başarısız olduğu durumlarda YARA'yı dayanıklı kılar: tek baytlık bir değişiklik karmayı geçersiz kılar, ancak iyi yazılmış bir örüntü kuralını geçersiz kılamaz.

Paketlenmiş ve gizlenmiş kötü amaçlı yazılımlar gerçek kodunu diskte saklar, ancak çalışmak için belleğe açılmak zorundadır. Canlı süreç belleğini veya bir bellek dökümünü YARA ile taramak, paketlenmiş dosyada görünmeyen dizeleri ve yapıları ortaya çıkarır.

Olay müdahale ekipleri bu nedenle RAM'i YARA ile tarar: şifresi çözülmüş yapılandırma, C2 adresleri ve yük, diskteki örnek tamamen gizlenmiş olsa bile bellekte görünür.

YARA, güvenlik yığını boyunca entegre edilebilir:

• EDR aracıları uç noktaları ortak kural kümeleriyle tarar
• Korumalı çalışma ortamları (Cuckoo, CAPE) çalıştırılarak tetiklenmiş örnekleri sınıflandırır
• E-posta ve web ağ geçitleri ekleri ve indirmeleri tarar
• Tehdit istihbaratı platformları örnek depoları genelinde arama yapar
• Adli bilişim araçları disk imajlarını ve bellek dökümlerini tarar

Tek bir kural biçimi, çok sayıda uygulama noktası: tespit mühendislerinin taşınabilirliğe verdiği değer tam olarak budur.

VirusTotal gibi platformlar, bir YARA kuralını geçmiş örnek arşivleri üzerinde çalıştırmanıza olanak tanır; bu uygulamaya geriye dönük avcılık denir. Yeni keşfedilen bir aile için kural yazın, geriye dönük tarama yapın ve eski örnekleri, ilişkili varyantları ve kampanyanın zaman çizelgesini ortaya çıkarın.

Bu yaklaşım, tek bir örneği bir aktörün araç geçmişi ve altyapıyı yeniden kullanımı hakkında istihbarata dönüştürür.

En basit hâliyle YARA CLI, bir kural dosyası ile hedefi alır. Her eşleşmede kural adını ve eşleşen dosyayı yazdırır.

YARA'nın gücü disiplin gerektirir. Kötü yazılmış bir kural, büyük ölçekte sorunlara yol açar.

• Fazla geniş -> yanlış pozitifler analistleri uyarı yağmuruna tutar ve zararsız dosyaları karantinaya alabilir
• Fazla özel -> tek bir örnekle eşleşir, aileyi kaçırır
• Fazla yavaş -> ağır düzenli ifadeler veya küçük atomlar altyapı genelindeki taramaları yavaşlatır

Amaç, güvenilebilecek kadar özel, varyantları yakalayacak kadar genel ve her yerde çalışabilecek kadar verimli kurallar yazmaktır.

Yazarın düşük maliyetle değiştirmesi olası olmayan veya değiştiremeyeceği özelliklerle eşleştirme yapın:

• Özel şifreleme yordamları ve benzersiz sabitler
• Ayırt edici kod parçaları ve açma mantığı
• Sabit kodlanmış karşılıklı dışlama nesnesi adları, kullanıcı aracıları veya PDB yolları
• Dosya biçimindeki yapısal anormallikler

Binlerce zararsız programda ortak olan genel kitaplık dizeleri veya derleyici kalıntılarıyla eşleştirme yapmaktan kaçının; bunlar gürültü üretir ve kolayca değiştirilir.

YARA'nın taşınabilirliği, kuralları savunucular arasında ortak bir değişim aracına dönüştürür. Özenle derlenmiş herkese açık ve ticari koleksiyonlar, her kuralı sıfırdan yazmak yerine işe bir adım önde başlamanızı sağlar.

• YARA-Rules topluluk deposu ve üreticilerin araştırma blogları
• IR'de yaygın olarak kullanılan Florian Roth's signature-base
• Aile ve APT kuralları içeren ISAC ve üretici akışları

Üçüncü taraf kurallarını devreye almadan önce değerlendirin: yanlış pozitif risklerini kontrol edin, çakışmaları önlemek için bunları ad alanlarına ayırın ve zararsız yazılım örnekleminiz üzerinde deneyin; çünkü değerlendirilmemiş bir harici kural ortamınızda gürültü üretebilir.

YARA her derde deva değildir.

• Davranışı değil, örüntüleri eşleştirir; örneği çalıştırmaz
• Diskteki yoğun paketleme/şifreleme, bellek taranana kadar her şeyi gizleyebilir
• Çok biçimli ve dönüşümlü kod, statik dizeleri etkisiz kılabilir
• Kurallarınızı ele geçiren saldırganlar bunları aşacak şekilde tasarım yapabilir

YARA'yı tek başına bir savunma olarak değil, davranışsal tespit, korumalı çalıştırma ve ağ izlemeyle birlikte kullanılan bir katman olarak değerlendirin.

İş için doğru aracı seçin.

YARA, dosyalar ve bellek için örüntü eşleştirmedir:

• Ağ IDS'sini tamamlayarak içeriği depolanmış veya bellekteki hâliyle sınıflandırır ve tanımlar
• Ortak özellikler üzerinden kötü amaçlı yazılım ailelerini tespit eder ve karma değişikliklerine dayanır
• Bellek taraması, statik analizin kaçırdığı açılmış kodu ortaya çıkarır
• EDR, korumalı çalışma ortamları, ağ geçitleri ve adli bilişim araçlarında çalışır
• Geriye dönük avcılık, tek bir örneği kampanya istihbaratına dönüştürür
• İyi kurallar özel, genel ve verimlidir; dayanıklı göstergelerle eşleşir
• YARA davranışı değil örüntüleri eşleştirir; bu nedenle onu tek bir katman olarak kullanın

Sırada: kural söz diziminin kendisi.