YARA. Запуск YARA-проверки

Запуск задачи Запустить YARA-проверку. Приложение выполняет проверку файлов и объектов на наличие признаков целевых атак на IT-инфраструктуру организации с помощью баз YARA-правил, создаваемых пользователями Kaspersky Anti Targeted Attack Platform. YARA-правило – общедоступная классификация вредоносных приложений, содержащая сигнатуры признаков целевых атак и вторжений в IT-инфраструктуру организации, по которым Kaspersky Anti Targeted Attack Platform производит проверку файлов и объектов.

Для запуска YARA-проверки вам нужно подготовить YARA-файлы, которые описывают правила. При создании YARA-файлов учитывайте следующие требования:

• Kaspersky Endpoint Security поддерживает YARA-файлы с расширением yara и yar открытого стандарта описания индикаторов компрометации YARA версии 4.2.3.
• В задаче можно указывать только файл с YARA-правилами. Задача Запустить YARA-проверку не поддерживает другие типы правил.
• Если вы добавили YARA-файлы, которые Kaspersky Endpoint Security не поддерживает, или правила содержат синтаксические ошибки, запуск задачи будет прерван с соответствующим уведомлением об ошибке.
• Идентификаторы всех YARA-файлов, которые используются в одной задаче, должны быть уникальными. Наличие YARA-файлов с одинаковыми идентификаторами может повлиять на корректность результатов выполнения задачи.
• YARA-проверка прерывается при обнаружении 128 совпадений с маркерами, описанными в YARA-правилах. Это необходимо для ограничения количества записей в отчете YARA-проверки для удобства его анализа и защиты отчета от переполнения из-за неточно сформулированных YARA-правил, для которых совпадений может быть очень много.

Специалисты "Лаборатории Касперского" рекомендуют создавать по одному правилу в одном YARA-файле. Такой подход облегчает чтение результатов проверки.

YARA-проверка может занять продолжительное время. В зависимости от размера диска, параметров задачи, количества объектов на диске YARA-проверка может длиться от нескольких минут до нескольких часов. При этом приложение не показывает индикатор выполнения. Прервать или отменить YARA-проверку невозможно. Рекомендуем дождаться результатов YARA-проверки.

Синтаксис команды

avp.com YARA /<full path to the YARA file>|/path=<path to the IOC files folder> [<advanced settings>]

Коды возврата команды:

• -1 – команда не поддерживается версией приложения, которое установлено на компьютере.
• 0 – команда выполнена успешно.
• 1 – команде не передан обязательный аргумент.
• 2 – общая ошибка.
• 4 – синтаксическая ошибка.
• 5 – не найден один или несколько файлов с YARA-правилами из указанных в значении параметра.

Вы можете просмотреть результаты выполнения YARA-проверки в консоли Kaspersky Anti Targeted Attack Platform. В консоли Kaspersky Security Center доступен только статус выполнения задачи.

Если команда была выполнена успешно (код 0) и в процессе выполнения были обнаружены индикаторы компрометации, Kaspersky Endpoint Security выводит в командную строку следующие данные о результатах выполнения задачи: