YARA-проверка

YARA-проверка – это процесс, в ходе выполнения которого Kaspersky Industrial CyberSecurity for Nodes использует YARA-файлы для поиска сигнатур вредоносной активности на устройствах. Проверка выполняется рекурсивно на локальных дисках. Сканирование сетевых, подключаемых и облачных ресурсов не поддерживается.

Для выполнения YARA-проверки необходима действующая лицензия на использование EDR Expert (on-premise).

YARA-файлы – это файлы с расширением YARA или YAR, которые содержат YARA-правила. YARA-правила представляют собой описание сигнатур целевых атак и вторжений в IT-инфраструктуру организации. По этим правилам Kaspersky Industrial CyberSecurity for Nodes производит проверку объектов. Если правило выполняется, анализатор выносит заключение о заражении с соответствующими подробностями в журнале.

Учитывайте следующие требования и ограничения, связанные с YARA-файлами:

• Kaspersky Industrial CyberSecurity for Nodes поддерживает YARA-файлы с расширением YARA или YAR открытого стандарта описания индикаторов компрометации YARA версии 4.2.3.
• Если вы запустите YARA-проверку с использованием YARA-файлов, которые не поддерживаются Kaspersky Industrial CyberSecurity for Nodes или содержат синтаксические ошибки, проверка будет прервана с соответствующим уведомлением об ошибке.
• Идентификаторы YARA-файлов, которые используются в одной задаче YARA-проверка, должны быть уникальными. Наличие YARA-файлов с одинаковыми идентификаторами может повлиять на корректность результатов выполнения задачи.
• YARA-проверка прерывается при обнаружении 128 совпадений с маркерами, описанными в YARA-правилах. Это необходимо для ограничения количества записей в отчете YARA-проверки для удобства его анализа и защиты отчета от переполнения из-за неточно сформулированных YARA-правил, для которых совпадений может быть очень много.

Мы рекомендуем создавать по одному правилу в одном YARA-файле. Такой подход облегчает чтение результатов YARA-проверки.

Запуск YARA-проверки возможен только через интерфейс командной строки.

YARA-проверка может занять продолжительное время. В зависимости от размера диска, параметров задачи, количества объектов на диске YARA-проверка может длиться от нескольких минут до нескольких часов. При этом приложение не показывает индикатор выполнения. Прервать или отменить YARA-проверку невозможно. Рекомендуем дождаться результатов YARA-проверки.

Чтобы запустить YARA-проверку:

1. На устройстве запустите интерпретатор командной строки (например, Command Prompt cmd.exe) с правами учетной записи локального администратора.
2. С помощью команды cd перейдите в папку, где находится файл kavshell.exe.

   Например, введите команду cd C:\Program Files (x86)\Kaspersky Lab\Kaspersky Industrial CyberSecurity for Nodes.4.5.0 и нажмите на клавишу ENTER.

3. Выполните следующую команду:

   KAVSHELL YARA <полный путь к YARA-файлу>|path=<путь к папке с YARA-файлами> [/<дополнительные параметры>]

   Обязательный параметр	Описание
   /<полный путь к YARA-файлу>	Полный путь к YARA-файлу, по которому требуется выполнить поиск. Вы можете указать несколько путей через пробел. Например, /C:\Users\Admin\Desktop\YARA\file.yar C:\Users\Admin\Desktop\YARA\file1.yar.
   /path=<путь к папке с YARA-файлами>	Путь к папке с YARA-файлами, по которым требуется выполнять поиск. Например, /path=C:\Users\Admin\Desktop\YARA.

Коды возврата команды:

• -1 – команда не поддерживается версией приложения, которое установлено на компьютере.
• 0 – команда выполнена успешно.
• 1 – команде не передан обязательный аргумент.
• 2 – общая ошибка.
• 4 – синтаксическая ошибка.
• 5 – не найден один или несколько файлов с YARA-правилами из указанных в значении параметра.

Если команда выполнена успешно (код 0) и в процессе выполнения команды приложение обнаружило описанные в YARA-правилах сигнатуры, приложение выводит в командную строку следующие данные о результатах выполнения задачи: