YARAルール
ファイル内の文字列やバイト列、条件のパターンでマルウェアを識別・分類するためのルール形式。1検体ではなくファミリー全体を捕まえるために書く。
YARAルールは、文字列（テキストや16進バイト列）と論理条件で構成される。たとえば「5つの文字列のうち3つが存在し、かつ先頭がMZである」といった書き方をする。ツールはファイル、メモリ、プロセスをスキャンし、一致したものを報告する。ファイルハッシュ（IoC）は完全に同一のファイルにしか一致しないが、出来のよいYARAルールは、コード断片や文字列を共有する亜種やファミリーまで拾えるため、小さな改変に強い。
用途はマルウェア解析・分類、フリート全体を対象にした脅威ハンティング、インシデント対応、メールやファイルのスキャンなど。VirusTotalが開発した。ログを対象に同じことをするのがSigmaルールで、マルウェア解析者の道具箱には欠かせない一本だ。