Правило YARA
Формат правил для распознавания и классификации вредоносного ПО по шаблонам — строкам, последовательностям байт и условиям; аналитики пишут их, чтобы ловить целое семейство, а не один образец.
Правило YARA задаёт строки (текстовые или шестнадцатеричные) и логическое условие, например «присутствуют 3 из 5 строк И файл начинается с MZ». Инструмент сканирует файлы, память или процессы и отмечает совпадения. Преимущество перед хешем файла (IoC): хеш совпадает лишь с ОДНИМ точным файлом, а хорошее правило YARA ловит варианты и семейства, у которых общие фрагменты кода или строки, — оно устойчивее к мелким правкам. Применение: анализ и классификация вредоносов, threat hunting по всему парку машин, реагирование на инциденты, проверка почты и файлов. Создано в VirusTotal. Аналог для логов и SIEM — правила Sigma.