PhishER verwendet Regeln mit der YARA-Logik (Yet Another Recursive/Ridiculous Acronym), um die an die Inbox (Posteingang) von PhishER weitergeleiteten Nachrichten einzustufen und mit Tags zu versehen. YARA ist ein Tool zum Erkennen und Klassifizieren von Malware. Mit der YARA-Logik können Sie benutzerdefinierte Regeln schreiben. Weitere Informationen über das Erstellen von Regeln in PhishER finden Sie im Artikel So erstellen und verwalten Sie Regeln in PhishER. Um Ihnen den Einstieg in die Arbeit mit YARA-Regeln zu erleichtern, finden Sie in unserem Artikel Anwendungsbeispiele für YARA-Regeln eine Liste der häufigsten Anwendungsfälle und Regeln.
Verwenden der YARA-Logik
Eine YARA-Regel ist ein logischer Ausdruck mit einer Beschreibung, der auf Text- oder Binärmustern basiert. Eine Regel beginnt mit einer Regelkennung und die Beschreibung einer Regel enthält drei Abschnitte: Meta, Zeichenfolgen und Bedingung. Diese Abschnitte bestimmen, wie eine Regel funktioniert.
Regelkennung
Beginnen Sie jede YARA-Regel mit dem Schlüsselwort rule, gefolgt von einer Kennung. Eine Kennung ist ein eindeutiger Name für die Regel. Bei Regelkennungen wird zwischen Groß- und Kleinschreibung unterschieden. Sie dürfen keine Leerzeichen enthalten, nicht mit einer Zahl beginnen und keine der in der YARA-Dokumentation Schreiben von YARA-Regeln aufgeführten Schlüsselwörter enthalten.
Meta
Als Nächstes können Sie einen meta-Abschnitt einfügen, um Kommentare oder Details zur Regel hinzuzufügen. Wenn mehrere Administrator:innen in PhishER YARA-Regeln schreiben oder bearbeiten, kann es hilfreich sein, den meta-Abschnitt als internes Änderungsprotokoll zu verwenden.
Zeichenfolgen
Deklarieren Sie im strings-Abschnitt eine Variable und legen Sie deren Wert fest. Jede Variable wird durch ein $-Zeichen gekennzeichnet, gefolgt vom Variablennamen. Bei Variablen wird zwischen Groß- und Kleinschreibung unterschieden. Sie dürfen weder Leerzeichen enthalten noch mit einer Zahl beginnen.
Bedingung
Schreiben Sie im condition-Abschnitt einen Ausdruck mit logischen Operatoren, um anzugeben, was mithilfe der Regel erkannt werden soll. Jede Regel muss über einen condition-Abschnitt verfügen und in der Bedingung müssen alle Zeichenfolgen enthalten sein.
