YARA-regel
Een regelformaat om malware te identificeren en te classificeren aan de hand van patronen: tekststrings, bytereeksen of voorwaarden in een bestand. "Patroonherkenning voor kwaadaardige code"; analisten schrijven YARA-regels om een hele malwarefamilie te detecteren, niet slechts één sample.
Werking: een YARA-regel definieert strings (tekst of hex-bytereeksen) en een logische voorwaarde (bijvoorbeeld "als 3 van deze 5 strings aanwezig zijn EN het bestand begint met MZ"). De tool scant vervolgens bestanden, geheugen en processen en markeert treffers. De kracht ten opzichte van een kale bestandshash (een IoC): een hash past op slechts ÉÉN exact bestand, terwijl een goede YARA-regel varianten en hele families vangt (die vaak codefragmenten of strings delen) en daardoor robuuster is tegen kleine wijzigingen. Toepassing: malware-analyse en -classificatie, threat hunting (een familie in het hele machinepark opsporen), incidentrespons en mail- en bestandsscans. Ontwikkeld door VirusTotal. Tegenhanger: Sigma doet hetzelfde voor logs en SIEM. Onmisbaar in het gereedschap van elke malware-analist. Verwant aan Sigma-regel en indicator of compromise.