用途：用于编写 YARA 规则，检测恶意软件样本或家族、为失陷指标（IOC）创建检测特征、扫描文件或目录中的已知威胁模式、依据情报报告构建威胁狩猎规则，以及根据行为或结构特征分类未知样本。不适用于动态恶意软件分析（应使用沙箱环境）、网络流量分析（应使用 Suricata/Snort 规则）和源代码静态分析（应使用 Semgrep）。
主要能力：支持文本字符串、十六进制字节模式和正则表达式三类字符串，并可加 ascii/wide、nocase、fullword、xor、base64 等修饰符。条件支持 all of them、any of ($a*)、2 of ($s1, $s2, $s3)、#s1 > 3、@s1 < 0x100、filesize、uint16(0) == 0x5A4D 等写法。
使用方式：扫描单个文件用 yara rule.yar target_file；递归扫描目录用 yara -r rules/ /path/to/scan/；带元数据输出用 yara -m -s rule.yar target_file；可先用 yarac rules/ compiled.yarc 编译，再用 yara -C compiled.yarc /path/to/scan/ 加快重复扫描。
最佳实践与限制：规则应包含 author、description、date、reference 等元数据；用 filesize 和魔术字节检查限定范围；优先使用多个弱指标而非一个强指标；对已知样本和干净文件测试以排查误报；辅助条件可用私有规则；避免过于宽泛的正则导致性能问题；规则应纳入版本控制并跟踪检测率。参考资料：YARA 文档 https://yara.readthedocs.io/ ；规则库 https://github.com/Yara-Rules/rules ；VirusTotal YARA https://docs.virustotal.com/docs/yara 。