yaraQA

YARA-Regel-Analyzer zur Verbesserung der Regelqualität und -leistung

Warum?

YARA-Regeln können syntaktisch korrekt, aber dennoch funktionsuntüchtig sein. yaraQA versucht, diese Probleme zu finden und dem Autor oder Betreuer eines YARA-Regelsatzes zu melden.

Die Probleme, die yaraQA zu erkennen versucht, sind z. B.:

• Regeln, die syntaktisch korrekt sind, aber aufgrund von Fehlern in der Bedingung nie zutreffen (z. B. Regel mit einem String und 2 of them in der Bedingung)
• Regeln, die String- und Modifikatorkombinationen verwenden, die wahrscheinlich falsch sind (z. B. $ = "\\Debug\\" fullword)
• Leistungsprobleme, die durch kurze Atome, sich wiederholende Zeichen oder Schleifen verursacht werden (z. B. $ = "AA"; kann mit --ignore-performance von der Analyse ausgeschlossen werden)

Ich werde den Testsatz im Laufe der Zeit erweitern. Jede Nebenversion wird neue Funktionen oder neue Tests enthalten.

Installationsanforderungen

pip install -r requirements.txt

Verwendung

usage: yaraQA.py [-h] [-f yara files [yara files ...]] [-d yara files [yara files ...]] [-o outfile] [-b baseline] [-l level]
                 [--ignore-performance] [--debug]

YARA RULE ANALYZER

optional arguments:
  -h, --help            show this help message and exit
  -f yara files [yara files ...]
                        Path to input files (one or more YARA rules, separated by space)
  -d yara files [yara files ...]
                        Path to input directory (YARA rules folders, separated by space)
  -o outfile            Output file that lists the issues (JSON, default: 'yaraQA-issues.json') 
  -b baseline           Use a issues baseline (issues found and reviewed before) to filter issues
  -l level              Minium level to show (1=informational, 2=warning, 3=critical)
  --ignore-performance  Suppress performance-related rule issues
  --debug               Debug output

Ausprobieren

python3 yaraQA.py -d ./test/

Alle Leistungsprobleme unterdrücken und nur Erkennungs-/Logikprobleme anzeigen.

python3 yaraQA.py -d ./test/ --ignore-performance

Alle Probleme mit informationsmäßigem Charakter unterdrücken.

python3 yaraQA.py -d ./test/ -level 2

Eine Basislinie verwenden, um nur neue Probleme zu sehen (nicht die, die Sie bereits überprüft haben). Die Basislinie ist eine alte JSON-Ausgabe eines überprüften Zustands.

python3 yaraQA.py -d ./test/ -b yaraQA-reviewed-issues.json

Beispielregeln mit Problemen

Beispielregeln mit Problemen finden Sie im Ordner ./test.

Ausgabe

yaraQA schreibt die erkannten Probleme standardmäßig in eine Datei mit dem Namen yaraQA-issues.json.

Diese Auflistung zeigt ein Beispiel der von yaraQA im JSON-Format erzeugten Ausgabe: