Оптимизация
YARA-правил.

Как снизить число ложных срабатываний, сохранив обнаружение угроз

Детектирование · точность · проверкаУЧЕБНАЯ ПРЕЗЕНТАЦИЯ

КОНТЕКСТ / 01ЛОЖНОЕ СРАБАТЫВАНИЕ

Неточное правило превращает сигнал в лишнюю проверку

Совпадение по общему признаку ещё не доказывает вредоносность файла.

01Широкая
сигнатура

Одна строка встречается и в обычном ПО.

02Ложный
сигнал

Правило помечает безопасный файл как подозрительный.

03Ручной
разбор

Аналитик тратит время и меньше доверяет оповещениям.

Вывод Оптимизация начинается с понимания, почему совпал легитимный файл.

ОСНОВА / 02СТРУКТУРА ПРАВИЛА

Строки описывают, что искать; условие определяет, когда сообщить о совпадении.

ПРИМЕР ПРАВИЛАrule.yar

rule Demo_Signature {
  strings:
    $a = "sample_marker"
    $b = "rare_context"
  condition:
    $a and $b
}

Признаки

strings задаёт текстовые, шестнадцатеричные или регулярные шаблоны.

Решение

condition объединяет совпадения: здесь нужны обе строки.

Схема синтаксиса: документация YARA · yara.readthedocs.io