YARA. Запуск YARA-проверки
Запуск задачи Запустить YARA-проверку. Приложение выполняет проверку файлов и объектов на наличие признаков целевых атак на IT-инфраструктуру организации с помощью баз YARA-правил. YARA-правила представляют собой описание сигнатур целевых атак и вторжений в IT-инфраструктуру организации, по которым Kaspersky Endpoint Security производит проверку объектов.
Для запуска YARA-проверки вам нужно подготовить YARA-файлы, которые описывают правила. При создании YARA-файлов учитывайте следующие требования:
- Kaspersky Endpoint Security поддерживает YARA-файлы с расширением .YARA и .YAR открытого стандарта описания индикаторов компрометации YARA версии 4.2.3.
- В задаче можно указывать только файлы с YARA-правилами. Задача Запустить YARA-проверку не поддерживает другие типы правил.
- Если вы добавили YARA-файлы, которые Kaspersky Endpoint Security не поддерживает, или правила содержат синтаксические ошибки, запуск задачи будет прерван с соответствующим уведомлением об ошибке.
- Идентификаторы всех YARA-файлов, которые используются в одной задаче, должны быть уникальными. Наличие YARA-файлов с одинаковыми идентификаторами может повлиять на корректность результатов выполнения задачи.
- YARA-проверка прерывается при обнаружении 128 совпадений с маркерами, описанными в YARA-правилах. Это необходимо для ограничения количества записей в отчете YARA-проверки для удобства его анализа и защиты отчета от переполнения из-за неточно сформулированных YARA-правил, для которых совпадений может быть очень много.
Специалисты "Лаборатории Касперского" рекомендуют создавать по одному правилу в одном YARA-файле. Такой подход облегчает чтение результатов проверки.
YARA-проверка может занять продолжительное время. В зависимости от размера диска, параметров задачи, количества объектов на диске YARA-проверка может длиться от нескольких минут до нескольких часов. При этом приложение не показывает индикатор выполнения. Прервать или отменить YARA-проверку невозможно. Рекомендуем дождаться результатов YARA-проверки.
Синтаксис команды
avp.com YARA <full path to the YARA file>|/path=<path to the folder with YARA files> [<advanced settings>]
YARA-файлы |
|
| Полный путь к YARA-файлу, по которому требуется выполнить поиск. Вы можете указать пути к нескольким YARA-файлам через пробел. Обязательный параметр, если параметр Пример:
|
| Полный путь к папке с YARA-файлами, по которым требуется выполнить поиск. Обязательный параметр, если параметр Пример:
|
Дополнительные параметры |
|
| Быстрая YARA-проверка. Для каждого объекта приложение фиксирует в журнале одно вхождение обнаруженного маркера. При этом приложение скрывает дубликаты обнаруженных маркеров в журнале. Быстрая YARA-проверка позволяет сократить время проверки больших файлов. Если параметр не задан, приложение выполняет стандартную YARA-проверку. В этом режиме приложение записывает дубликаты обнаруженных маркеров в журнал. |
| Ограничение количества уникальных сработавших правил, при превышении которого приложение прекращает YARA-проверку. Если значение параметра не задано или равно |
| Ограничение длительности YARA-проверки в секундах. По истечении указанного времени приложение останавливает YARA-проверку. Если значение параметра не задано или равно |
| Параметр запускает рекурсивную проверку вложенных папок в рамках выборочной проверки ( |
| Параметр запускает YARA-проверку файлов по указанному списку папок. Вы можете указать несколько значений через пробел. Kaspersky Endpoint Security поддерживает символы Если значение параметра не задано, приложение выполняет YARA-проверку на всех локальных дисках, кроме сетевых, облачных и подключаемых дисков. |
| Проверка памяти всех запущенных процессов. |
| Проверка памяти только для указанных процессов. Необходимо через пробел указать пути к исполняемым файлам процессов вместе с названиями файлов. Вы можете также использовать символы |
| Ограничение размера файлов для YARA-проверки. Приложение пропускает файлы большего размера. |
| Формирование области проверки. Вы можете указать несколько значений через пробел. Доступны следующие значения:
Область проверки необходимо задавать с параметром Пример:
|
| Исключение файлов из YARA-проверки. Вы можете указать несколько значений через пробел. Доступны следующие значения:
Исключения необходимо задавать с параметром Пример:
|
| YARA-проверка объектов точек автозапуска. |
| Исключение объектов точек автозапуска из области проверки. Необходимо через пробел указать пути к исполняемым файлам процессов вместе с названиями файлов. Вы можете также использовать символы |
| Если указан путь к папке, приложение сохраняет результаты сканирования по указанному пути в файле yara_<имя компьютера>_<время завершения сканирования>.txt. Если указан путь к конкретному TXT-файлу, приложение сохраняет результаты сканирования в нем. Например: Результаты проверки будут выведены в командной строке независимо от того, указано ли значение параметра |
Коды возврата команды:
-1– команда не поддерживается версией приложения, которое установлено на компьютере.0– команда выполнена успешно.1– команде не передан обязательный аргумент.2– общая ошибка.4– синтаксическая ошибка.5– не найден один или несколько файлов с YARA-правилами из указанных в значении параметра.
Если команда была выполнена успешно (код 0) и в процессе выполнения были обнаружены индикаторы компрометации, Kaspersky Endpoint Security выводит в командную строку следующие данные о результатах выполнения задачи:
| Время начала и завершения сканирования. |
| Имя компьютера, на котором обнаружен объект. |
| Код ошибки, которая возникла при выполнении задачи. Если ошибки нет, приложение выводит |
| Описание ошибки, которая возникла при выполнении задачи. Например, |
| Имя объекта/процесса, на котором сработало YARA-правило. |
| Хеши объекта, на котором сработало YARA-правило. |
| Имя сработавшего YARA-правила. |
| Метаданные, которые указаны в YARA-правиле. |
| Найденные совпадения внутри объекта, которые соответствуют условиям YARA-правила:
|
