יישום שיטות מומלצות לכלל YARA-L 2.0
במסמך הזה מפורטות השיטות המומלצות של Google Security Operations לכתיבת כללים ב-YARA-L 2.0.
סינון של ערכים אפסיים
יכול להיות שהמערכת תשמיט שדות באופן אוטומטי באירועים שמופעלים מול הכללים. אם לא מציינים שדות, ערכי ברירת המחדל שלהם הם אפס.
לדוגמה, אם לא מציינים ערך מחרוזת, ברירת המחדל היא "".
אם משווים בין שני שדות שהושמטו, יכול להיות ששניהם יקבלו כברירת מחדל את הערך אפס. זה עלול להוביל להתאמות לא מכוונות, שבהן שני שדות מתאימים כי לשניהם יש ערך אפס. כדי להימנע מההתנהגות הזו, צריך לציין במפורש את הערך אפס.
לדוגמה, אם יש לכם כלל שמשווה בין שני אירועים על סמך שני שדות, יכול להיות ששני השדות האלה יהיו ריקים, ולכן תהיה התאמה:
$e1.field1 = $e2.field2
אם שני הערכים e1.field1 ו-e2.field2 לא מופיעים בנתונים, הערך של "" = "" הוא true, ולכן יש התאמה.
ביטויי ההשוואה הבאים מבטיחים שלא תהיה התאמה כי e1.field1 ו-e2.field2 לא כוללים נתונים:
$e1.field1 = $e2.field2
$e1.field != ""
ערכים אפסיים וכללים שתלויים בהעשרה
אם כלל מסוים תלוי בנתונים מועשרים שעוד לא עודכנו, יכול להיות שהערך יהיה null או אפס. לכן, מומלץ לסנן ערכים אפסיים (בדיקות null) בכללים שתלויים בהעשרה. איך Google SecOps מעשיר נתונים של אירועים וישויות ואיך משתמשים בנתונים מועשרים בהקשר בכללים
הוספת מסנן של סוג אירוע
בדוגמה הבאה, כתובות ה-IP של כל אירוע UDM נבדקות מול רשימת ההפניה, וזה צורך הרבה משאבים:
events:
// For every UDM event, check if the target.ip is listed in
// the suspicious_ip_addresses reference list.
$e.target.ip in %suspicious_ip_addresses
אם כלל YARA-L מזהה רק אירועי UDM מסוג אירוע מסוים, הוספה של מסנן סוג אירוע יכולה לעזור לכם לבצע אופטימיזציה של הכלל על ידי צמצום מספר האירועים שהכלל צריך להעריך.
events:
// For every UDM event of type NETWORK_DNS, check if the target.ip is
// listed in the suspicious_ip_addresses reference list.
$e.metadata.event_type = "NETWORK_DNS"
$e.target.ip in %suspicious_ip_addresses
מוסיפים את המסננים האלה לתחילת הקטע events. כדאי גם להציב מסנני שוויון לפני ביטויים רגולריים או השוואות אחרות. המסננים מופעלים לפי הסדר שבו הם מופיעים בכלל.
בלוגים של הקהילה בנושא עבודה עם YARA-L:
- מושגי יסוד ב-YARA-L
- משתני כללי YARA-L
- אופרטורים ומשנים ב-YARA-L
- יצירת כלל לאירוע יחיד באמצעות ביטוי רגולרי
- צבירת אירועים בכללים
- הגדרת סף בתנאים
- ניווט בכלי לעריכת כללים
- אפשרויות של כללי YARA-L
- יצירת כלל של אירוע יחיד – התאמה למחרוזת
- יצירת כלל מרובה אירועים – צירוף אירועים
- יצירת כלל מרובה אירועים – סידור אירועים
- יצירת כלל של כמה אירועים – כמה הצטרפויות וספירות בתנאים
- יצירת כלל מרובה-אירועים – חלונות נעים
- היכרות עם תוצאות בכלל של אירוע יחיד
- תוצאות בכלל מרובה אירועים – ספירות
- תוצאות בכללים של כמה אירועים – מערכים
- תוצאות בכלל של כמה אירועים – מקסימום, מינימום, סכום
- תוצאות – דירוג סיכונים, לוגיקה מותנית ואופרטורים מתמטיים
- Functions - strings.concat
- Functions - strings.coalesce
- פונקציות – רשת
- רשימת מקורות מידע
- רשימות הפניה של CIDR
- רשימות הפניה לביטויים רגולריים
- פונקציית מחרוזות – אותיות רישיות או קטנות
- פונקציית ביטוי רגולרי – re.regex
- פונקציית ביטוי רגולרי – re.capture
- פונקציית מחרוזת – strings.base64_decode
- פונקציית ביטוי רגולרי – re.replace
- איך מתחילים להשתמש בחיפוש סטטיסטי
- חיפוש סטטיסטי – יותר מספירה
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.