Todas as regras do PhishER devem seguir a lógica da regra Yet Another Recursive/Ridiculous Acronym (YARA) para classificar as mensagens. Na plataforma PhishER, use o Editor básico para criar sequências de caracteres e condições para as regras YARA, em vez de criar toda a lógica da regra YARA manualmente.
Para saber mais sobre como criar regras YARA, consulte o artigo Como criar regras YARA.
Você pode criar uma sequência de caracteres ao declarar uma variável e configurar um valor para ela. No Editor básico, cada nova sequência de caracteres contém uma variável predefinida, para a qual você deve inserir um valor.
Para criar sequências de caracteres no Editor básico, siga estas etapas:
- Faça login na plataforma PhishER.
- Na barra lateral à esquerda da página, selecione a guia Regras para abrir a página Regras.
- Clique no botão Nova regra, no canto superior direito da página, para abrir a página Editor de regras.
- Preencha a seção superior da página Editor de regras. Para obter mais informações sobre os campos dessa página, consulte o artigo Como criar e gerenciar regras do PhishER.
-
Na seção Criar sequências de caracteres, insira um valor para a sequência de caracteres.
Observação: os valores devem incluir apenas caracteres ASCII. Para saber mais sobre os caracteres ASCII, visite a página da web ASCII.
-
(Opcional) Se você quiser usar uma variável global, clique no menu suspenso Selecionar variável global. No menu suspenso exibido, selecione o nome da variável global que você deseja usar. Para obter mais informações sobre as variáveis globais, consulte a seção Usando variáveis globais do artigo Como criar e gerenciar regras do PhishER.
-
(Opcional) Se você quiser criar sequências de caracteres adicionais, selecione Adicionar nova sequência de caracteres. Depois, insira os valores das novas sequências de caracteres.
Observação: você pode criar até cinco sequências de caracteres por regra.
Depois de criar pelo menos uma sequência de caracteres, você precisará criar condições para a regra. Para obter mais informações, consulte a próxima seção deste artigo.
Depois de criar pelo menos uma sequência de caracteres, crie condições para a regra. As condições permitem que você especifique quais mensagens serão afetadas pela sua regra. Ao criar condições para a regra, é possível escolher entre três opções. Para obter mais informações sobre essas opções, veja a captura de tela e a lista abaixo:
- Corresponder qualquer uma das sequências de caracteres definidas: selecione esta opção para detectar as mensagens que correspondem a qualquer uma das suas sequências de caracteres definidas.
- Corresponder todas as sequências de caracteres definidas: selecione esta opção para detectar as mensagens que correspondem a todas as suas sequências de caracteres definidas.
- Condições personalizadas: selecione esta opção para detectar as mensagens que correspondem às suas condições personalizadas. Para obter mais informações sobre as condições personalizadas, consulte a subseção seguinte deste artigo.
Como criar condições personalizadas no Editor básico
Você pode criar até cinco condições personalizadas por regra. Para criar as condições personalizadas, crie expressões usando suas sequências de caracteres e operadores lógicos. Ao criar as condições personalizadas, você deve usar todas as sequências de caracteres criadas para a regra.
Para criar uma condição personalizada, siga estas etapas:
- Na página Detalhes da regra, crie as sequências de caracteres de que você precisa para a condição personalizada.
-
Na seção Criar condições da página, selecione Condições personalizadas.
-
No menu suspenso Selecionar uma sequência de caracteres, selecione uma das sequências de caracteres que você criou.
-
Para adicionar outra sequência de caracteres à condição, clique no menu suspenso Adicionar.
- No menu suspenso Adicionar, selecione uma destas opções:
- e: selecione esta opção se a regra precisar detectar mensagens que correspondam às duas sequências de caracteres.
- ou: selecione esta opção se a regra precisar detectar mensagens que correspondam a uma ou duas sequências de caracteres.
- e não: selecione esta opção se a regra precisar detectar mensagens que correspondam à sequência de caracteres existente, mas não correspondam à sequência de caracteres que está sendo adicionada.
-
Depois de selecionar uma opção no menu suspenso Adicionar, o menu suspenso Selecionar uma sequência de caracteres será exibido. Nesse menu suspenso, selecione uma sequência de caracteres.
- Repita as etapas de 4 a 6 até adicionar todas as sequências de caracteres de que você precisa para a condição.
Depois de criar sua primeira condição, crie até quatro condições adicionais para sua regra. Para criar uma nova condição, siga estas etapas:
-
Para adicionar outra condição, clique no menu suspenso Adicionar grupo de condições.
- No menu suspenso, selecione uma destas opções:
- e: selecione esta opção se a regra precisar detectar mensagens que correspondam às duas condições.
- ou: selecione esta opção se a regra precisar detectar mensagens que correspondam à uma ou às duas condições.
- e não: selecione esta opção se a regra precisar detectar mensagens que correspondam à condição existente, mas não correspondam à condição que está sendo adicionada.
- Na seção da nova condição, selecione as sequências de caracteres necessárias à condição e escolha como elas devem estar relacionadas.
- Repita as etapas de 1 a 3 até incluir todas as condições necessárias para a regra.
- Clique em Salvar para salvar a sua regra.
Para ver um exemplo das condições personalizadas, consulte a captura de tela e os detalhes abaixo:
Nesta captura de tela, estas três sequências de caracteres foram criadas: “.pdf”, “.htm” e “.exe”. As três sequências de caracteres foram usadas para criar duas condições personalizadas que devem atender à regra para detectar uma mensagem. A mensagem precisará incluir “.pdf” e “.htm” ou apenas “.exe” para ser detectada por essa regra.