YARA detection rules: YARA дүрмээр төхөөрөмж шалгах

Тойм

YARA дүрэм бол төхөөрөмжүүдээс хортой үйлдлийн хэв маягийг хайх query юм. YARA detection rules боломжийг ашиглан эдгээр шалгалтын үр дүнд тулгуурласан тусгай alert болон аюулгүй байдлын incident (зөрчил) үүсгэнэ.

Энэ шинэ боломжийг Incidents > Custom detection rules хуудаснаас олно. Шинэ дүрэм нэмэхдээ YARA товчийг дарж YARA дүрмийн тодорхойлолт руу шилжинэ.

Урьдчилсан нөхцөл

Энэ боломжийг ашиглахын тулд дараах шаардлагыг хангасан байх ёстой:

• Танд идэвхтэй EDR лиценз байх ёстой.

  Чухал

  Зөвхөн EDR (Report only) горимд суулгах лиценз энэ боломжийг дэмжихгүй.

• Төхөөрөмж дээр суулгасан BEST хувилбар үйлдлийн системийн дараах шаардлагыг хангасан байх ёстой:
  • Windows: BEST хувилбар 7.9.5.318 буюу түүнээс дээш
  • Linux: BEST хувилбар 7.0.3.2248 буюу түүнээс дээш
  • macOS: BEST хувилбар 7.16.42.200016 буюу түүнээс дээш

YARA detection rules үүсгэх

YARA дүрэм үүсгэхийн тулд дараах алхмыг дагана:

1. 1
   GravityZone Control Center-т нэвтэрнэ.
2. 2
   Зүүн талын цэснээс Incidents > Custom detection rules хуудас руу орно.
3. 3
   Add rule дарна.

   Таныг Add rule хуудас руу шилжүүлнэ.

4. 4
   Detection rule definition алхамд YARA товчийг дарж YARA дүрмийн тодорхойлолт руу шилжинэ.
5. 5
   Дүрмийнхээ query-г бичнэ.

   Чухал

   • YARA Performance Guidelines болон Writing YARA rules баримтыг үзнэ үү. Эдгээр удирдамжийг дагавал шалгагдаж буй төхөөрөмжүүдийн гүйцэтгэлийн асуудлыг багасгана.
   • YARA дүрэм бүрт хамгийн ихдээ 30,000 тэмдэгт оруулж болно.
   • Зөвхөн ASCII тэмдэгт дэмжигдэнэ.
   • YARA detection rules боломж нь дүрмийг compile хийх үед гадны файлын агуулгыг нэмдэг include directive-ийг дэмждэггүй.
6. 6
   Check rule дарна.

   Дүрмийн синтаксд алдаа байвал алдааны болон анхааруулгын мэдэгдэл гарна. Юуг засах тухай дэлгэрэнгүй мэдээлэл авахын тулд тодруулсан мөрүүд дээр курсороо аваачна.

7. 7
   Тодруулсан синтаксийн алдаануудыг зассаны дараа Check rule-г дахин дарна.
8. 8
   Дүрэм амжилттай шалгагдсаны дараа Next дарна.
9. 9
   Detection rule settings алхамд, Rule configuration хэсэгт дүрмийн ойлгомжтой нэр өгнө.
10. 10
    Заавал биш: Дүрмийн тайлбар бичиж, тохирох шошгыг (tag) сонгоно.

    Чухал

    • Таны дүрэмд тохирох шошго байхгүй бол Create tag дарж нэмж болно.
    • Дүрмийн шошго нь дүрмүүдийг таних, бүлэглэх, эрэмбэлэхэд тусална.
11. 11
    Заавал биш: Дүрмийг үүсгэсний дараа шууд идэвхжүүлэхийн тулд Enable On-access сонголтыг идэвхжүүлнэ.

    Анхааруулга

    • Энэ сонголтыг болгоомжтой ашигла. Энэ нь шалгагдаж буй төхөөрөмжүүдийн гүйцэтгэлд нөлөөлж болзошгүй. Тиймээс ийм дүрмийг зөвхөн туршлагатай аюулгүй байдлын шинжээч тохируулж, query-г маш тодорхой байлгахыг зөвлөж байна.
    • Энэ боломж нь 50 MB хүртэлх хэмжээтэй файлыг боловсруулна. Үүнээс том файлыг шалгахын тулд оронд нь хүссэн үед шалгах (on-demand) шалгалт ажиллуулна. YARA дүрмээр хийсэн on-demand шалгалт нь incident үүсгэхгүй, зөвхөн alert үүсгэдгийг анхаарна уу.
    • Энэ сонголт нь төхөөрөмжийн идэвхтэй бодлогод тодорхойлсон on-access шалгалтын тохиргоог яг адилаар хэрэглэх бөгөөд тэдгээрийг дарж бичихгүй.
    • YARA detection rules боломж нь On-access Scanning бодлогын тохиргоонд заасан шалгалтын үйлдлүүдийг хэрэглэхгүй.

    Зөвлөгөө

    Энэ сонголтыг идэвхжүүлснээр дүрэмд заасан нөхцөл тодорхой төхөөрөмж дээр биелэх бүрд YARA шалгалтын үр дүнд alert болон incident хоёулаа үүснэ. Incident-үүдийг Incidents хуудаснаас харж болно. Холбогдох alert-үүдийг харахын тулд тухайн incident-ийн дэлгэрэнгүйг нээнэ.

    Тэмдэглэл

    • Custom detection rules хүснэгтэд байгаа идэвхтэй бүх YARA detection дүрэм нийлээд цагт хамгийн ихдээ 100 өвөрмөц incident үүсгэнэ. Идэвхтэй incident-тэй үйл явдалд YARA detection ажиллавал тухайн incident автоматаар шинэчлэгдэх бөгөөд 100 incident-ийн хязгаарт тооцогдохгүй.
    • Custom detection rules хүснэгтэд байгаа идэвхтэй бүх YARA detection дүрэм нийлээд цагт хамгийн ихдээ 5000 alert үүсгэнэ.
    • Custom detection rules хүснэгтийн нэг YARA дүрэм нь query синтаксд тодорхойлсон олон тусдаа YARA дүрэм агуулж болно. Тусдаа YARA дүрэм бүрээс цагт хамгийн ихдээ 1000 alert үүсч болно.
12. 12
    Rule outcome хэсэгт үүсэх alert-үүдэд тохирох ноцтой байдлын (severity) түвшинг сонгоно.
13. 13
    Next дарна.
14. 14
    Detection rule targets алхамд, Rule targets хэсэгт дүрмээр аль төхөөрөмжүүдийг шалгахыг сонгоно.

    1. Бүх компанийг эсвэл тодорхой төхөөрөмжийн шошгыг (endpoint tags) сонгоно.
    2. Endpoint tags сонголтыг сонговол зүүн талын цэсний жагсаалтаас шошгоо сонгоно.

       Таны одоогийн сонголт баруун талын цэсэнд харагдана.

       Тэмдэглэл

       • Дүрэм зөвхөн сонгосон шошго оноосон төхөөрөмжүүдэд хамаарна.
       • Эдгээр шошгыг Network > Tags management хэсэгт үүсгэж, удирдана.
15. 15
    Next дарна.
16. 16
    Заавал биш: Automatic actions алхамд, YARA detection дүрэм таарсан үед автоматаар ажиллах хариу үйлдлүүдийг тохируулж, гүйцэтгэх тэргүүлэх дарааллыг тогтооно.

    1. Автомат үйлдлийг идэвхжүүлэхийн тулд Enable automatic actions-ийг сонгоно.
    2. Хариу үйлдлүүдийг хүссэн тэргүүлэх дарааллаар нь чирж (drag and drop) дахин эрэмбэлнэ.

       Тэмдэглэл

       Үндсэн дарааллыг сэргээхийн тулд Reset priority дарна.

    3. YARA дүрэмд идэвхжүүлэх үйлдлүүдээ сонгоно.

       Дараах автомат үйлдлүүд байдаг:

       • Isolate
       • Add to Sandbox
       • Kill process
       • Antimalware scan
       • Quarantine

    Чухал

    YARA дүрмийн автомат хариу үйлдэл нь BEST-ийн дараах доод хувилбарыг шаардана:

    • Windows: 7.9.29.589
    • Linux: 7.8.0.200265
    • macOS: 7.22.55.200114
17. 17
    Өмнөх алхамд Quarantine сонгосон бол quarantine үйлдлийн хажууд байгаа Edit settings дээр дарж болно.

    Тэгвэл Edit quarantine configuration хажуугийн самбар нээгдэнэ.

    1. YARA дүрмийн текст хэрэгтэй бол Copy to clipboard-ыг сонгоно.
    2. YARA дүрмээр илэрсэн файлыг үүсгэсэн, өөрчилсөн, устгасан, ажиллуулсан эсвэл хандсан эх процессын executable файлыг мөн хорионд оруулахын тулд Include triggering process file дарна.
    3. Save дарна.
18. 18
    Өмнөх алхамд Antimalware scan сонгосон бол Antimalware scan үйлдлийн хажууд байгаа Edit settings дээр дарж болно.

    Тэгвэл Edit scan configuration хажуугийн самбар нээгдэнэ.

    1. Нөлөөлөгдсөн төхөөрөмж дээр хүссэн үед шалгах (on-demand) шалгалт эхлүүлэх бол Quick эсвэл Full шалгалтыг сонгоно.
    2. Save дарна.
19. 19
    Save дарна.
20. 20
    Isolate, Kill process эсвэл Quarantine үйлдлийн аль нэгийг сонгосон бол доорх харилцах цонх гарна. Дүрмийн тохиргоог хянасны дараа Create rule дарна.

Таны үүсгэсэн YARA дүрэм Custom detection rules хүснэгтэд харагдана.

Custom detection rules хүснэгт дэх YARA дүрмүүд

YARA дүрмүүдийг харуулахаар шүүх

YARA дүрмүүдээ харахын тулд GravityZone Control Center-ийн Incidents > Custom detection rules хуудас руу орно. Тэдгээрийг Rule type баганад YARA утгаар нь таньна.

Дүрмийн хүснэгтийг зөвхөн YARA дүрмийг харуулахаар шүүхийн тулд дараах алхмыг дагана:

1. 1
   Дүрмийн хүснэгтийн дээрх More унждаг цэсийг дарна.
2. 2
   Rule type нүдийг тэмдэглэнэ.
3. 3
   Apply дарна.

   Ингэснээр хүснэгтийн дээр Rule type шүүлтүүр нэмэгдэнэ.

4. 4
   Rule type шүүлтүүр дээр дарна.
5. 5
   YARA нүдийг тэмдэглэнэ.
6. 6
   Apply дарна.

Хэд хэдэн YARA дүрмийг идэвхжүүлэх эсвэл идэвхгүй болгох

Хэд хэдэн YARA дүрмийг идэвхжүүлэхийн тулд дараах алхмыг дагана:

1. 1
   Custom detection rules хүснэгтэд идэвхжүүлэх YARA дүрмүүдийнхээ нүдийг тэмдэглэнэ.
2. 2
   Хүснэгтийн дээрх Change status товчийг дарна.
3. 3
   Enable дарна.
4. 4
   Confirm дарна.

Хэд хэдэн YARA дүрмийг идэвхгүй болгохын тулд дараах алхмыг дагана:

1. 1
   Custom detection rules хүснэгтэд идэвхгүй болгох YARA дүрмүүдийнхээ нүдийг тэмдэглэнэ.
2. 2
   Хүснэгтийн дээрх Change status товчийг дарна.
3. 3
   Disable дарна.
4. 4
   Confirm дарна.

YARA дүрмийн дэлгэрэнгүйг үзэх

Хүснэгт дэх YARA дүрмүүдийн аль нэг дээр дарахад дэлгэрэнгүй самбар нээгдэнэ. YARA дүрмийн дэлгэрэнгүй самбарт дүрмийн нэр, ID, тайлбар, YARA query болон дүрмийн бусад мэдээлэл байна.

1. 1
   Copy all to clipboard товч нь YARA query-г бүхэлд нь clipboard руу хуулахад хялбар болгоно.
2. 2
   View incidents сонголт нь таныг Incidents хуудас руу аваачна. YARA дүрмээс үүссэн бүх incident-ийг татах, урьдчилан бөглөсөн query автоматаар ажиллана.
3. 3
   Edit rule товч нь дүрмийн тодорхойлолтын цонхыг нээж, дүрмийн мэдээллийг өөрчлөх боломж олгоно.

On-demand шалгалт ажиллуулах

On-demand шалгалт ажиллуулахын тулд дараах алхмыг дагана:

1. 1
   On-demand шалгалтыг хоёр янзаар эхлүүлж болно:

   • YARA detection дүрмийн дэлгэрэнгүй самбарт Scan товчийг дарна.
   • Custom detection rules хүснэгтэд хүснэгтийн мөрийн баруун үзүүрт байгаа босоо гурван цэгтэй (vertical ellipsis) товчийг дараад Scan-ийг дарна.
2. 2
   Define local targets цонхонд шалгах хавтас эсвэл дискийг зааж өгнө.

   Чухал

   • Specific folders талбар wildcard тэмдэгт дэмждэггүй ч системийн хувьсагчдыг дэмжинэ.
   • YARA дүрмээр сүлжээний хуваалцсан хавтсыг (network share) on-demand шалгахыг дэмждэггүй.
3. 3
   Scan дарна.

   Тэмдэглэл

   On-demand шалгалт нь зөвхөн alert үүсгэх бөгөөд incident үүсгэхгүй. Үүссэн alert-үүдийг Network > Endpoint details > Scan Logs табаас харж болно.

Энэ шалгалтад зориулсан task (даалгавар) үүснэ. Үүнийг Network > Tasks хэсгээс харж болно.

Шалгалтын дэлгэрэнгүй үр дүнг Network > Endpoint details > Scan Logs табаас харж болно.

Шалгалтын бүртгэл, түүний дэлгэрэнгүй болон үр дүн Accounts > User activity хэсэгт мөн байна.