用途
该技能面向安全工程师，用于执行基于 YARA 规则的模式匹配式恶意软件检测。当需要扫描文件中的恶意软件指标、分析可疑二进制文件，或应用 YARA 规则进行威胁检测时，可使用此技能。
主要能力
- 使用 YARA 规则对文件或目录进行扫描，识别恶意指标。
- 支持社区规则集（来自 https://github.com/Yara-Rules/rules）与自定义规则集。
- 支持递归目录扫描、多个规则文件、输出元数据、输出匹配字符串、将结果保存到文件，以及设置单文件扫描超时。
- 扫描结果可整理为表格，包含规则名称、匹配文件、标签、描述与匹配字符串。
- 可汇总扫描文件总数与匹配数量、匹配规则描述与威胁类别、误报评估，以及建议操作（隔离、删除、进一步调查）。
使用方式
前置条件：
- 已安装 YARA（apt install yara 或 brew install yara）。
- 已准备 YARA 规则（可使用社区规则）。
- 验证安装：yara --version
操作步骤：
- 确定目标：确定要扫描的文件或目录。
- 运行扫描：
yara -r <rules-file-or-dir> <target-path>
递归目录扫描：
yara -r rules/ /path/to/scan/
多个规则文件：
yara -r rule1.yar -r rule2.yar <target>
带元数据：
yara -r -m rules/ <target>
带字符串匹配：
yara -r -s rules/ <target>
类 JSON 输出：
yara -r -m -s rules/ <target> 2>&1 | tee yara-results.txt
单文件超时：
yara -r -t 60 rules/ <target>
- 解析结果，按表格呈现：
| # | Rule Name | File Matched | Tags | Description | Strings Matched |
|---|
- 汇总，提供：
- 扫描文件总数与匹配数量。
- 匹配规则描述与威胁类别。
- 误报评估。
- 建议操作（隔离、删除、进一步调查）。
适用场景
- 扫描文件中的恶意软件指标。
- 分析可疑二进制文件。
- 应用 YARA 规则进行威胁检测。
常见 YARA 规则类别
| 类别 | 描述 |
|---|---|
| Malware families | 已知恶意软件签名 |
| Packers | UPX、Themida、自定义打包器 |
| Exploits | Shellcode、ROP 链 |
| Webshells | PHP/ASP/JSP webshell |
| Crypto miners | 挖矿软件指标 |
| Ransomware | 加密/勒索指标 |
| RATs | 远程访问木马 |
限制
资料未提供关于收费、价格、平台支持范围、检测准确率或性能上限的说明，暂未提供。