YARA detection rules ашиглан YARA дүрмээр endpoint шалгах нь хэрхэн вэ?

Тойм

YARA дүрэм бол endpoint-уудаас хортой үйлдлийн хэв маягийг хайх query юм. YARA detection rules боломжийг ашиглан эдгээр шалгалтын үр дүнд тулгуурласан тусгай alert болон аюулгүй байдлын incident үүсгэнэ.

Энэ шинэ боломжийг Incidents > Custom detection rules хуудаснаас олно. Шинэ дүрэм нэмэхдээ YARA товчийг дарж YARA дүрмийн тодорхойлолт руу шилжинэ.

Урьдчилсан нөхцөл

Энэ боломжийг ашиглахын тулд дараах шаардлагыг хангасан байх ёстой:

• Танд идэвхтэй EDR лиценз байх ёстой.

> Анхаарах: Зөвхөн EDR (Report only) горимд ашиглах лиценз энэ боломжийг дэмжихгүй.

• Endpoint дээр суулгасан BEST хувилбар үйлдлийн системийн дараах шаардлагыг хангасан байх ёстой:

- Windows: BEST хувилбар 7.9.5.318 буюу түүнээс дээш
- Linux: BEST хувилбар 7.0.3.2248 буюу түүнээс дээш
- macOS: BEST хувилбар 7.16.42.200016 буюу түүнээс дээш

YARA detection rules үүсгэх

YARA дүрэм үүсгэхийн тулд дараах алхмыг дагана:

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Incidents > Custom detection rules хуудас руу орно.

3. 3Add rule дарна.

Таныг Add rule хуудас руу шилжүүлнэ.

4. 4Detection rule definition алхамд YARA товчийг дарж YARA дүрмийн тодорхойлолт руу шилжинэ.

5. 5Дүрмийнхээ query-г бичнэ.

> Анхаарах:
> - YARA Performance Guidelines болон Writing YARA rules баримтыг үзнэ үү. Эдгээр удирдамжийг дагавал шалгагдаж буй endpoint-уудын гүйцэтгэлийн асуудлыг багасгана.
> - YARA дүрэм бүрт хамгийн ихдээ 30,000 тэмдэгт оруулж болно.
> - Зөвхөн ASCII тэмдэгт дэмжигдэнэ.
> - YARA detection rules боломж нь дүрмийг compile хийх үед гадны файлын агуулгыг нэмдэг include directive-ийг дэмждэггүй.

6. 6Check rule дарна.

Дүрмийн синтаксд алдаа байвал алдааны болон анхааруулгын мэдэгдэл гарна. Засах зүйлийн талаар дэлгэрэнгүй мэдээлэл авахын тулд тодруулсан мөрүүд дээр курсороо аваачна.

7. 7Тодруулсан синтаксийн алдаануудыг зассаны дараа Check rule-г дахин дарна.

8. 8Дүрэм амжилттай шалгагдсаны дараа Next дарна.

9. 9Detection rule settings алхамд, Rule configuration хэсэгт дүрмийн ойлгомжтой нэр өгнө.

10. 10Заавал биш: Дүрмийн тайлбар бичиж, тохирох шошгыг сонгоно.

> Анхаарах:
> - Таны дүрэмд тохирох шошго байхгүй бол Create tag дарж нэмж болно.
> - Дүрмийн шошго нь дүрмүүдийг таних, бүлэглэх, эрэмбэлэхэд тусална.

11. 11Заавал биш: Дүрмийг үүсгэсний дараа шууд идэвхжүүлэхийн тулд Enable On-access сонголтыг идэвхжүүлнэ.

> Анхааруулга:
> - Энэ сонголтыг болгоомжтой ашигла. Энэ нь шалгагдаж буй endpoint-уудын гүйцэтгэлд нөлөөлж болзошгүй. Тиймээс ийм дүрмийг зөвхөн туршлагатай аюулгүй байдлын шинжээч тохируулж, query-г маш тодорхой байлгахыг зөвлөж байна.
> - Энэ боломж нь 50 MB хүртэлх хэмжээтэй файлыг боловсруулна. Үүнээс том файлыг шалгахын тулд оронд нь on-demand шалгалт ажиллуулна. YARA дүрмээр хийсэн on-demand шалгалт нь incident үүсгэхгүй, зөвхөн alert үүсгэдгийг анхаарна уу.
> - Энэ сонголт нь endpoint-ын идэвхтэй policy-д тодорхойлсон on-access шалгалтын тохиргоог яг адилаар хэрэглэх бөгөөд тэдгээрийг дарж бичихгүй.
> - YARA detection rules боломж нь On-access Scanning policy-ийн тохиргоонд заасан шалгалтын үйлдлүүдийг хэрэглэхгүй.

> Зөвлөмж: Энэ сонголтыг идэвхжүүлснээр дүрэмд заасан нөхцөл тодорхой endpoint дээр биелэх бүрд YARA шалгалтын үр дүнд alert болон incident хоёулаа үүснэ. Alert-үүдийг Search хуудаснаас, incident-үүдийг Incidents хуудаснаас харж болно.

> Тэмдэглэл:
> - Custom detection rules хүснэгтэд байгаа идэвхтэй бүх YARA detection дүрэм нийлээд цагт хамгийн ихдээ 100 өвөрмөц incident үүсгэнэ. Идэвхтэй incident-тэй үйл явдалд YARA detection ажиллавал тухайн incident автоматаар шинэчлэгдэх бөгөөд 100 incident-ийн хязгаарт тооцогдохгүй.
> - Custom detection rules хүснэгтэд байгаа идэвхтэй бүх YARA detection дүрэм нийлээд цагт хамгийн ихдээ 5000 alert үүсгэнэ.
> - Custom detection rules хүснэгтийн нэг YARA дүрэм нь query синтаксд тодорхойлсон олон тусдаа YARA дүрэм агуулж болно. Тусдаа YARA дүрэм бүрээс цагт хамгийн ихдээ 1000 alert үүсч болно.

12. 12Rule outcome хэсэгт үүсэх alert-үүдэд тохирох ноцтой байдлын (severity) түвшинг сонгоно.

13. 13Next дарна.

14. 14Detection rule targets алхамд, Rule targets хэсэгт дүрмээр аль endpoint-уудыг шалгахыг сонгоно.

1. Бүх байгууллагыг эсвэл тодорхой endpoint шошгыг сонгоно.

2. Endpoint tags сонголтыг сонговол зүүн талын цэсний жагсаалтаас шошгоо сонгоно.

Таны одоогийн сонголт баруун талын цэсэнд харагдана.

> Тэмдэглэл:
> - Дүрэм зөвхөн сонгосон шошго оноосон endpoint-уудад хамаарна.
> - Эдгээр шошгыг Network > Tags management хэсэгт үүсгэж, удирдана.

15. 15Next дарна.

16. 16Заавал биш: Automatic actions алхамд, YARA detection дүрэм таарсан үед автоматаар ажиллах хариу үйлдлүүдийг тохируулж, гүйцэтгэх тэргүүлэх дарааллыг тогтооно.

1. Автомат үйлдлийг идэвхжүүлэхийн тулд Enable automatic actions-ийг сонгоно.

2. Хариу үйлдлүүдийг хүссэн тэргүүлэх дарааллаар нь чирж (drag and drop) дахин эрэмбэлнэ.

> Тэмдэглэл: Үндсэн дарааллыг сэргээхийн тулд Reset priority дарна.

3. YARA дүрэмд идэвхжүүлэх үйлдлүүдээ сонгоно.

Дараах автомат үйлдлүүд байдаг:

- Isolate
- Collect investigation package
- Add to Sandbox
- Kill process
- Antimalware scan
- Quarantine
- Risk scan

> Анхаарах: YARA дүрмийн автомат хариу үйлдэл нь BEST-ийн дараах доод хувилбарыг шаардана:
>
> - Windows: 7.9.29.589
> - Linux: 7.8.0.200265
> - macOS: 7.22.55.200114

17. 17Өмнөх алхамд Quarantine сонгосон бол quarantine үйлдлийн хажууд байгаа Edit settings дээр дарж болно.

Тэгвэл Edit quarantine configuration хажуугийн самбар нээгдэнэ.

1. Yara дүрмийн текст хэрэгтэй бол Copy to clipboard-ыг сонгоно.
2. YARA дүрмээр илэрсэн файлыг үүсгэсэн, өөрчилсөн, устгасан, ажиллуулсан эсвэл хандсан эх процессын executable файлыг мөн хорионд (quarantine) оруулахын тулд Include triggering process file дарна.
3. Save дарна.

18. 18Өмнөх алхамд Antimalware scan сонгосон бол Antimalware scan үйлдлийн хажууд байгаа Edit settings дээр дарж болно.

Тэгвэл Edit scan configuration хажуугийн самбар нээгдэнэ.

1. Нөлөөлөгдсөн endpoint дээр on-demand шалгалт эхлүүлэх бол Quick эсвэл Full шалгалтыг сонгоно.
2. Save дарна.

19. 19Save дарна.

20. 20Isolate, Kill process эсвэл Quarantine үйлдлийн аль нэгийг сонгосон бол доорх харилцах цонх гарна. Дүрмийн тохиргоог хянасны дараа Create rule дарна.

Таны үүсгэсэн YARA дүрэм Custom detection rules хүснэгтэд харагдана.

Custom detection rules хүснэгт дэх YARA дүрмүүд

YARA дүрмүүдийг харуулахаар шүүх

YARA дүрмүүдээ харахын тулд GravityZone Control Center-ийн Incidents > Custom detection rules хуудас руу орно. Тэдгээрийг Rule type баганад YARA утгаар нь таньна.

Дүрмийн хүснэгтийг зөвхөн YARA дүрмийг харуулахаар шүүхийн тулд дараах алхмыг дагана:

1. 1Дүрмийн хүснэгтийн дээрх More унждаг цэсийг дарна.

2. 2Rule type нүдийг тэмдэглэнэ.

3. 3Apply дарна.

Ингэснээр хүснэгтийн дээр Rule type шүүлтүүр нэмэгдэнэ.

4. 4Rule type шүүлтүүр дээр дарна.

5. 5YARA нүдийг тэмдэглэнэ.

6. 6Apply дарна.

Хэд хэдэн YARA дүрмийг идэвхжүүлэх эсвэл идэвхгүй болгох

Хэд хэдэн YARA дүрмийг идэвхжүүлэхийн тулд дараах алхмыг дагана:

1. 1Custom detection rules хүснэгтэд идэвхжүүлэх YARA дүрмүүдийнхээ нүдийг тэмдэглэнэ.
2. 2Хүснэгтийн дээрх Change status товчийг дарна.
3. 3Enable дарна.
4. 4Confirm дарна.

Хэд хэдэн YARA дүрмийг идэвхгүй болгохын тулд дараах алхмыг дагана:

1. 1Custom detection rules хүснэгтэд идэвхгүй болгох YARA дүрмүүдийнхээ нүдийг тэмдэглэнэ.
2. 2Хүснэгтийн дээрх Change status товчийг дарна.
3. 3Disable дарна.
4. 4Confirm дарна.

YARA дүрмийн дэлгэрэнгүйг үзэх

Хүснэгт дэх YARA дүрмүүдийн аль нэг дээр дарахад дэлгэрэнгүй самбар нээгдэнэ. YARA дүрмийн дэлгэрэнгүй самбарт дүрмийн нэр, ID, тайлбар, YARA query болон дүрмийн бусад мэдээлэл байна.

1. 1Copy all to clipboard товч нь YARA query-г бүхэлд нь clipboard руу хуулахад хялбар болгоно.
2. 2View incidents болон View alerts сонголтууд нь таныг харгалзан Incidents болон Search хуудас руу аваачна. YARA дүрмээс үүссэн бүх alert эсвэл incident-ийг татах query-г автоматаар ажиллуулна.
3. 3Edit rule товч нь дүрмийн тодорхойлолтын цонхыг нээж, дүрмийн мэдээллийг өөрчлөх боломж олгоно.

On-demand шалгалт ажиллуулах

On-demand шалгалт ажиллуулахын тулд дараах алхмыг дагана:

1. 1On-demand шалгалтыг хоёр янзаар эхлүүлж болно:

- YARA detection дүрмийн дэлгэрэнгүй самбарт Scan товчийг дарна.

- Custom detection rules хүснэгтэд хүснэгтийн мөрийн баруун үзүүрт байгаа босоо гурван цэг (vertical ellipsis) товчийг дараад Scan-ийг дарна.

2. 2Define local targets цонхонд шалгах хавтас эсвэл дискийг зааж өгнө.

> Анхаарах:
> - Specific folders талбар wildcard тэмдэгт дэмждэггүй ч системийн хувьсагчдыг дэмжинэ.
> - YARA дүрмээр сүлжээний хуваалцсан хавтсыг (network share) on-demand шалгахыг дэмждэггүй.

3. 3Scan дарна.

> Тэмдэглэл: On-demand шалгалт нь зөвхөн alert үүсгэх бөгөөд incident үүсгэхгүй. Үүссэн alert-үүдийг Incidents > Search хуудсанд query-дээ other.rule_id талбарыг нэмж харж болно.

Энэ шалгалтад зориулсан task үүснэ. Үүнийг Network > Tasks хэсгээс харж болно.

Шалгалтын дэлгэрэнгүй үр дүнг Network > Endpoint details > Scan Logs табаас харж болно.

Шалгалтын бичлэг, түүний дэлгэрэнгүй болон үр дүн Accounts > User activity хэсэгт бас хадгалагдана.