用途：用 YARA 模式匹配规则主动狩猎未知恶意软件变种、扫描隔离目录与沙箱输出、搜索进程内存转储中的注入代码，并验证威胁情报 IOC。不适合实时端点防护，应改用 EDR。
主要能力：编写字符串、十六进制与正则规则；用 pe、math 模块做 PE 头分析与熵值检测；用 yara-python 扫描文件、目录和内存转储；用 yarGen 从样本自动生成规则；整合 signature-base、YARA-Rules 等社区规则；结合 watchdog 建立持续狩猎管道并输出 JSONL 告警。
必要条件：YARA 4.x（apt install yara 或 brew install yara）、Python 3.8+ 与 yara-python（pip install yara-python）、yarGen（git clone https://github.com/Neo23x0/yarGen），可选 pefile、malduck。
用法要点：先编译规则（yara -w rules/*.yar /dev/null 校验语法），再对目标目录或内存转储调用 rules.match(filepath, timeout=...)；用命名空间避免规则冲突，单个损坏规则可跳过。加载社区规则可使用 load_rule_directory 封装。
验证与限制：需用已知恶意样本验证真阳性、用正常软件验证假阴性，并检查扫描性能与告警格式。资料未提供具体检出率、价格或平台支持信息。YARA 扫描适合批量狩猎、分诊与采集后分析，实时防护需依赖 EDR。