Мониторинг, IDS и системный анализ. YARA

Вот важная новость с фронта ИИ: Emi_Dev 26 минут назад Мониторинг, IDS и системный анализ. YARA Средний 2 мин 1. 1K Cisco * Системное администрирование * Информационная безопасность * Туториал Что делаетYARA — инструмент для идентификации и классификации вредоносного программного обеспечения по правилам.

Правила YARA описывают паттерны (строки, бинарные последовательности, регулярные выражения) в файлах. Широко используется в антивирусах, IDS, threat hunting для поиска малвари. Установкаsudo apt install yara Синтаксисyara <файл правил> <цель> Ключевые флаги и опцииФлагОписание-rРекурсивный обход директорий-sПоказывать совпавшие строки-p NКоличество потоков-mПоказать метаданные правил-nИнвертировать результаты (только несовпадения)-gПоказать теги-l NЛимит строк-d VAR=VALОпределить внешнюю переменную--no-warningsБез предупреждений-fБыстрый режим-x MODULEЗагрузить внешний модульПрактические примерыПример 1 — поиск малвари по готовым правилам:# Скачиваем правила (например, из репозитория): git clone /opt/yara-rules # Сканируем подозрительный файл: yara /opt/yara-rules/malware/RAT.

Технические детали

yar /tmp/suspicious_file. exe QUASAR_RAT /tmp/suspicious_file. exe Win32_Trojan_Generic /tmp/suspicious_file.

exe Пример 2 — написание кастомного правила:cat > detect_webshell. yar << 'EOF' rule EOF yara detect_webshell. yar /var/www/html/ -r -s WebShell_PHP_Generic /var/www/html/images/thumb.

php 0x0: $s1: eval( 0x15: $s2: base64_decode( 0x45: $s5: $_REQUEST Пример 3 — сканирование памяти процесса:# Получаем PID подозрительного процесса: ps aux | grep suspicious # Сканируем процесс: yara -p 4 /opt/rules/malware. yar 1234 Cobalt_Strike_Beacon 1234 Частые ошибки“Error: could not open file” — проверьте права доступа к файлу правил. Медленное сканирование директорий — используйте -p 8 для многопоточности.

Заметки OPSECYARA часто используется защитниками для threat hunting — знание правил помогает их обходить. Создавайте собственные правила для охоты на конкретные угрозы.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.