Stel strings en voorwaarden op in de Basic Editor voor YARA-regels

Alle PhishER-regels moeten de logica van een Yet Another Recursive/Ridiculous Acronym (YARA)-regel volgen om berichten te markeren. Op je PhishER-platform kun je met de Basic Editor strings en voorwaarden voor je YARA-regels opstellen in plaats van alle YARA-regellogica handmatig te schrijven.

Lees voor meer informatie over het schrijven van YARA-regels ons artikel Zo schrijf je YARA-regels.

Je kunt een string maken door een variabele aan te wijzen en voor die variabele een waarde in te stellen. In de Basic Editor bevat iedere nieuwe string een vooringestelde variabele en je moet voor die variabele een waarde instellen.

Volg de onderstaande stappen om in de Basic Editor strings te maken:

1. Log in bij je PhishER-platform.
2. Selecteer in de zijbalk links op de pagina het tabblad Regels om de pagina Regels te openen.
3. Klik op de knop Nieuwe regel rechts bovenaan de pagina om de pagina Regeleditor te openen.
4. Voltooi het bovenste gedeelte van de pagina Regeleditor. Lees voor meer informatie over de velden op deze pagina ons artikel PhishER-regels maken en beheren.

5. In het gedeelte Strings maken voer je een waarde in voor de string.

   Opmerking:waarden mogen alleen ASCII-tekens bevatten. Ga voor meer informatie over ASCII-tekens naar deze webpagina ASCII.

   

6. (Optioneel) Als je een wereldwijde variabele wil gebruiken, klik dan op het keuzemenu Wereldwijde variabele selecteren. Selecteer in het keuzemenu dat verschijnt de naam van de wereldwijde variabele die je wil gebruiken. Bekijk voor meer informatie over wereldwijde variabelen het gedeelte Wereldwijde variabelen gebruiken van ons artikel PhishER-regels maken en beheren.

   

7. (Optioneel) Als je aanvullende strings wil maken, selecteer dan Nieuwe string toevoegen. Voer dan waarden in voor de nieuwe strings.

   Opmerking:je kunt tot vijf strings per regel maken.

Zodra je minimaal één string hebt gemaakt, moet je voorwaarden voor je regel opstellen. Meer informatie hierover vind je in het gedeelte van dit artikel hieronder.

Nadat je minimaal één string hebt gemaakt, kun je voorwaarden voor je regel opstellen. Met voorwaarden kun je aangeven op welke berichten je wil dat je regel betrekking heeft. Wanneer je voorwaarden voor je regel opstelt, kun je kiezen uit drie opties. Zie de schermafbeelding en de lijst hieronder voor meer informatie over deze opties:

1. Zoek elke overeenkomende gedefinieerde string: Selecteer deze optie om berichten te detecteren die overeenkomen met één van je gedefinieerde strings.
2. Zoek alle overeenkomende gedefinieerde strings: Selecteer deze optie om berichten te detecteren die overeenkomen met al je gedefinieerde strings.
3. Aangepaste voorwaarden: Selecteer deze optie om berichten te detecteren die overeenkomen met je aangepaste voorwaarden. Bekijk voor meer informatie over aangepaste voorwaarden de subsectie van dit artikel hieronder.

Aangepaste voorwaarden opstellen in de Basic Editor

Je kunt tot vijf aangepaste voorwaarden per regel opstellen. Schrijf uitdrukkingen met behulp van je strings en logische operators om aangepaste voorwaarden op te stellen. Wanneer je aangepaste voorwaarden opstelt, moet je alle strings gebruiken die je voor de regel hebt gemaakt.

Volg de onderstaande stappen om een aangepaste voorwaarde op te stellen:

1. Maak op de pagina Regeldetails de strings die je nodig hebt voor je aangepaste voorwaarde.

2. Selecteer Aangepaste voorwaarden in het gedeelte Voorwaarden maken van de pagina.

   

3. Selecteer in het keuzemenu Een string selecteren een van de strings die je hebt gemaakt.

   

4. Klik om nog een string aan de voorwaarde toe te voegen in het keuzemenu op Toevoegen

   

5. Selecteer in het keuzemenu Toevoegen een van de hieronder vermelde opties:
   • en: Selecteer deze optie als de regel berichten moet detecteren die met beide strings overeenkomen.
   • of: Selecteer deze optie als de regel berichten moet detecteren die met één of beide strings overeenkomen.
   • en niet: Selecteer deze optie als de regel berichten moet detecteren die overeenkomen met de huidige string, maar niet overeenkomen met de string die wordt toegevoegd.

6. Nadat je een optie hebt geselecteerd in het keuzemenu Toevoegen verschijnt het keuzemenuSelecteer een string. Selecteer in dit keuzemenu een string.

   

7. Herhaal stap 4-6 tot je alle strings toegevoegd hebt die je nodig hebt voor de voorwaarde.

Nadat je je eerste voorwaarde hebt opgesteld, kun je tot vier aanvullende voorwaarden voor je regel opstellen. Volg de onderstaande stappen om een nieuwe voorwaarde op te stellen:

1. Klik om nog een voorwaarde toe te voegen op het keuzemenu Voorwaardegroep toevoegen.

   

2. Selecteer in het keuzemenu een van de hieronder vermelde opties:
   • en: Selecteer deze optie als de regel berichten moet detecteren die met beide voorwaarden overeenkomen.
   • of: Selecteer deze optie als de regel berichten moet detecteren die met beide of één van beide voorwaarden overeenkomen.
   • en niet: Selecteer deze optie als de regel berichten moet detecteren die overeenkomen met de huidige voorwaarde, maar niet overeenkomen met de voorwaarde die je nu toevoegt.
3. Selecteer in het gedeelte 'nieuwe voorwaarde' de strings die nodig zijn voor je voorwaarde en hoe ze zich tot elkaar moeten verhouden.
4. Herhaal stap 1-3 tot je alle voorwaarden toegevoegd hebt die je nodig hebt voor de regel.
5. Klik op Opslaan om je regel op te slaan.

Bekijk het screenshot en de details hieronder om een voorbeeld te zien van aangepaste voorwaarden:

In dit screenshot zijn de volgende drie strings gemaakt: '.pdf', '.htm' en '.exe'. De drie strings zijn gebruikt om twee aangepaste voorwaarden op te stellen waaraan de regel moet voldoen om een bericht te detecteren. Een bericht moet om door deze regel te worden gedetecteerd ofwel zowel '.pdf' als '.htm' bevatten of alleen '.exe'.