PhishER utilizza regole con una logica YARA (Yet Another Recursive/Ridiculous Acronym) per classificare ed etichettare i messaggi inoltrati alla tua Inbox (Posta in arrivo) di PhishER. YARA è uno strumento utilizzato per identificare e classificare i campioni di malware. Utilizzando la logica YARA puoi scrivere regole personalizzate. Per informazioni generali sulla creazione di regole in PhishER, leggi l’articolo Come creare e gestire le regole di PhishER. Per iniziare a usare le regole YARA, leggi l’elenco dei casi d’uso e delle regole comuni nell’articolo Casi d’uso per le regole YARA.
Uso della logica YARA
Una regola YARA è un’espressione logica con una descrizione basata su schemi testuali o binari. Una regola inizia con un identificatore di regola e la descrizione di una regola contiene tre sezioni: meta, strings (stringhe) e condition (condizione). Queste sezioni determinano come funziona la regola.
Identificatore della regola
Inizia ogni regola YARA con la parola chiave rule (regola) seguita da un identificatore. L’identificatore è un nome univoco per la regola. Gli identificatori delle regole distinguono maiuscole e minuscole, non possono includere spazi, non devono iniziare con un valore numerico e non possono includere nessuna delle parole chiave elencate nella documentazione di YARA Writing YARA Rules (Scrivere regole YARA).
Meta
Successivamente, puoi includere una sezione meta per aggiungere commenti o dettagli relativi alla regola. Se ci sono più admin che scrivono o modificano le regole YARA in PhishER, può essere utile utilizzare la sezione meta come registro delle modifiche interne.
Stringhe
Nella sezione strings (stringhe), dichiara una variabile e imposta il relativo valore. Ogni variabile è indicata dal segno $ seguito dal nome della variabile. Le variabili distinguono maiuscole e minuscole, non possono includere spazi e non devono iniziare con un valore numerico.
Condition (Condizione)
Nella sezione condition (condizione), scrivi un’espressione utilizzando gli operatori logici per indicare quali elementi devono essere rilevati dalla regola. Tutte le regole devono avere una sezione condition (condizione) e la condizione deve includere tutte le stringhe.
