YARA-проверка

YARA-проверка – это процесс, в ходе выполнения которого Kaspersky Industrial CyberSecurity for Nodes использует YARA-файлы для поиска сигнатур вредоносной активности на устройствах. Проверка выполняется рекурсивно на локальных дисках. Сканирование сетевых, подключаемых и облачных ресурсов не поддерживается.

Для выполнения YARA-проверки необходима действующая лицензия на использование EDR Expert (on-premise).

YARA-файлы – это файлы с расширением .YARA или .YAR, которые содержат YARA-правила. YARA-правила представляют собой описание сигнатур целевых атак и вторжений в IT-инфраструктуру организации. По этим правилам Kaspersky Industrial CyberSecurity for Nodes производит проверку объектов. Если правило выполняется, анализатор выносит заключение о заражении с соответствующими подробностями в журнале.

Учитывайте следующие требования и ограничения, связанные с YARA-файлами:

• Kaspersky Industrial CyberSecurity for Nodes поддерживает YARA-файлы с расширением .YARA или .YAR открытого стандарта описания индикаторов компрометации YARA версии 4.2.3.
• Если вы запустите YARA-проверку с использованием YARA-файлов, которые не поддерживаются Kaspersky Industrial CyberSecurity for Nodes или содержат синтаксические ошибки, проверка будет прервана с соответствующим уведомлением об ошибке.
• Идентификаторы YARA-файлов, которые используются в одной задаче YARA-проверка, должны быть уникальными. Наличие YARA-файлов с одинаковыми идентификаторами может повлиять на корректность результатов выполнения задачи.
• YARA-проверка прерывается при обнаружении 128 совпадений с маркерами, описанными в YARA-правилах. Это необходимо для ограничения количества записей в отчете YARA-проверки для удобства его анализа и защиты отчета от переполнения из-за неточно сформулированных YARA-правил, для которых совпадений может быть очень много.

Мы рекомендуем создавать по одному правилу в одном YARA-файле. Такой подход облегчает чтение результатов YARA-проверки.

Запуск YARA-проверки возможен только через интерфейс командной строки.

YARA-проверка может занять продолжительное время. В зависимости от размера диска, параметров задачи, количества объектов на диске YARA-проверка может длиться от нескольких минут до нескольких часов. При этом приложение не показывает индикатор выполнения. Прервать или отменить YARA-проверку невозможно. Рекомендуем дождаться результатов YARA-проверки.

Если команда была выполнена успешно (код 0) и в процессе выполнения были обнаружены индикаторы компрометации, Kaspersky Industrial CyberSecurity for Nodes выводит в командную строку следующие данные о результатах выполнения задачи: