Alle PhishER-Regeln müssen der YARA-Regellogik (Yet Another Recursive/Ridiculous Acronym) zur Einstufung von Nachrichten folgen. In der PhishER-Plattform können Sie mit dem Standardeditor Zeichenfolgen und Bedingungen für Ihre YARA-Regeln erstellen, ohne dabei die YARA-Regellogik manuell schreiben zu müssen.
Weitere Informationen zum Schreiben von YARA-Regeln finden Sie im Artikel So schreiben Sie YARA-Regeln.
Sie können eine Zeichenfolge erstellen, indem Sie eine Variable deklarieren und dann einen Wert für diese Variable festlegen. Im Standardeditor enthält jede neue Zeichenfolge einen voreingestellte Variable und Sie müssen für diese Variable einen Wert eingeben.
Gehen Sie wie folgt vor, um Zeichenfolgen im Standardeditor zu erstellen:
- Melden Sie sich bei der PhishER-Plattform an.
- Wählen Sie in der Seitenleiste links auf der Seite die Registerkarte Rules aus, um die Seite Rules List zu öffnen.
- Klicken Sie oben rechts auf der Seite auf die Schaltfläche New Rule, um die Seite Rule Details zu öffnen.
- Füllen Sie den oberen Bereich auf der Seite Rule Details aus. Weitere Informationen über die Felder auf dieser Seite finden Sie im Artikel So erstellen und verwalten Sie Regeln in PhishER.
- Geben Sie im Abschnitt Create Strings einen Wert für die Zeichenfolge ein.
Hinweis: Es dürfen nur ASCII-Zeichen verwendet werden. Weitere Informationen zu ASCII-Zeichen finden Sie auf dieser ASCII-Webseite.
- (Optional) Wenn Sie eine globale Variable verwenden möchten, klicken Sie auf das Drop-down-Symbol mit dem Globus. Wählen Sie im Drop-down-Menü den Namen der globalen Variable aus, die Sie verwenden möchten. Weitere Informationen zu globalen Variablen finden Sie im Abschnitt Verwenden globaler Variablen des Artikels So erstellen und verwalten Sie Regeln in PhishER.
- (Optional) Wenn Sie weitere Zeichenfolgen erstellen möchten, klicken Sie auf die Schaltfläche New String. Geben Sie dann Werte für die neue Zeichenfolgen ein.
Hinweis: Es können bis zu fünf Zeichenfolgen pro Regel erstellt werden.
Nachdem Sie mindestens eine Zeichenfolge erstellt haben, müssen Sie Bedingungen für Ihre Regel erstellen. Weitere Informationen finden Sie im entsprechenden Abschnitt dieses Artikels weiter unten.
Nachdem Sie mindestens eine Zeichenfolge erstellt haben, können Sie Bedingungen für Ihre Regel erstellen. Mithilfe von Bedingungen können Sie angeben, welche Nachrichten von der Regel betroffen sein sollen. Zum Erstellen von Bedingungen für Ihre Regel stehen Ihnen drei Optionen zur Auswahl. Weitere Informationen zu diesen Optionen finden Sie im Screenshot und in der folgenden Liste:
- Match any of the defined strings: Mit dieser Option werden Nachrichten erkannt, die mit einer der definierten Zeichenfolgen übereinstimmen.
- Match all of the defined strings: Mit dieser Option werden Nachrichten erkannt, die mit allen definierten Zeichenfolgen übereinstimmen.
- Custom conditions: Mit dieser Option werden Nachrichten erkannt, die mit Ihren benutzerdefinierten Bedingungen übereinstimmen. Weitere Informationen über benutzerdefinierte Bedingungen finden Sie im entsprechenden Unterabschnitt dieses Artikels weiter unten.
Erstellen von benutzerdefinierten Bedingungen im Standardeditor
Es können bis zu fünf benutzerdefinierte Bedingungen pro Regel erstellt werden. Eine benutzerdefinierte Regel können Sie erstellen, indem Sie mithilfe Ihrer Zeichenfolgen und logischer Operatoren Ausdrücke bilden. Wenn Sie benutzerdefinierte Bedingungen erstellen, müssen Sie alle für die Regel erstellten Zeichenfolgen verwenden.
Gehen Sie wie folgt vor, um eine benutzerdefinierte Bedingung zu erstellen:
- Erstellen Sie auf der Seite Rule Details die Zeichenfolgen, die Sie für Ihre benutzerdefinierte Bedingung benötigen.
- Wählen Sie im Abschnitt Create Conditions der Seite die Option Custom conditions aus.
- Wählen Sie im Drop-down-Menü Choose string eine der von Ihnen erstellten Zeichenfolgen aus.
- Klicken Sie auf das Drop-down-Menü Add, um der Bedingung eine weitere Zeichenfolge hinzuzufügen.
- Wählen Sie im Drop-down-Menü Add eine der nachfolgend aufgeführten Optionen aus:
- and: Wählen Sie diese Option aus, wenn die Regel Nachrichten erkennen soll, die beiden Zeichenfolgen entsprechen.
- or: Wählen Sie diese Option aus, wenn die Regel Nachrichten erkennen soll, die entweder einer der Zeichenfolgen oder beiden Zeichenfolgen entsprechen.
- and not: Wählen Sie diese Option aus, wenn die Regel Nachrichten erkennen soll, die der vorhandenen Zeichenfolge entsprechen, jedoch nicht der Zeichenfolge, die hinzugefügt wird.
- Nach der Auswahl einer Option im Drop-down-Menü Add wird das Drop-down-Menü Choose string angezeigt. Wählen Sie in diesem Drop-down-Menü eine Zeichenfolge aus.
- Wiederholen Sie die Schritte 4 bis 6, bis Sie alle Zeichenfolgen hinzugefügt haben, die Sie für die Bedingung benötigen.
Nachdem Sie Ihre erste Bedingung erstellt haben, können Sie bis zu vier weitere Bedingungen für Ihre Regel erstellen. Gehen Sie wie folgt vor, um eine neue Bedingung zu erstellen:
- Klicken Sie auf das Drop-down-Menü New Condition Group, um eine weitere Bedingung hinzuzufügen.
- Wählen Sie im Drop-down-Menü eine der nachfolgend aufgeführten Optionen aus:
- and: Wählen Sie diese Option aus, wenn die Regel Nachrichten erkennen soll, die beiden Bedingungen entsprechen.
- or: Wählen Sie diese Option aus, wenn die Regel Nachrichten erkennen soll, die entweder einer der Bedingungen oder beiden Bedingungen entsprechen.
- and not: Wählen Sie diese Option aus, wenn die Regel Nachrichten erkennen soll, die der vorhandenen Bedingung entsprechen, jedoch nicht der Bedingung, die hinzugefügt wird.
- Wählen Sie im Abschnitt mit der neuen Bedingung die Zeichenfolgen aus, die für Ihre Bedingung notwendig sind, und wählen Sie aus, wie diese miteinander in Beziehung stehen sollen.
- Wiederholen Sie die Schritte 1 bis 3, bis Sie alle Bedingungen hinzugefügt haben, die Sie für die Regel benötigen.
- Klicken Sie auf Save Rule, um Ihre Regel zu speichern.
Auf dem Screenshot und in den Erläuterungen weiter unten finden Sie ein Beispiel für eine benutzerdefinierte Bedingung:
Auf dem Screenshot sieht man, dass folgende Zeichenfolgen erstellt wurden: „.pdf“, „.htm“ und „.exe“. Mithilfe dieser drei Zeichenfolgen wurden zwei benutzerdefinierte Bedingungen erstellt, die erfüllt seinen müssen, damit eine Nachricht von der Regel erkannt wird. Eine Nachricht muss entweder „.pdf“ und „.htm“ oder darf nur „.exe“ enthalten, um von dieser Regel erkannt zu werden.