Signature-Base

Signature-Base es la base de datos de firmas YARA e IOCs para nuestros escáneres LOKI y THOR Lite

Enfoque de Signature-Base

1. Reglas YARA e IOCs de alta calidad con mínimos falsos positivos
2. Estructura clara
3. Formato de regla consistente

Estructura de directorios

• iocs - Archivos IOC simples (CSV)
• yara - Reglas YARA
• threatintel - Receptores de API de Inteligencia de Amenazas (MISP, OTX)
• misc - Otros archivos de entrada (no IOCs ni firmas)

Variables externas en reglas YARA

Usar las reglas YARA en una herramienta que no sea LOKI o THOR Lite provocará errores que indican un undefined identifier. Las reglas que hacen uso de variables externas se enumeran en ./yara/external-variable-rules.txt. Tanto la verificación de sintaxis CI como el flujo de trabajo de ensamblaje utilizan esa misma lista.

Simplemente elimine estos archivos en caso de que vea el mensaje de error anterior.

Fuente de reglas YARA de alta calidad

Si le gustaron mis reglas, consulte nuestro servicio comercial de conjuntos de reglas y fuente de reglas, que contiene reglas mejores y 20 veces más cantidad.

Preguntas frecuentes

¿Cómo puedo reportar falsos positivos?

Use la sección de problemas (issues) de este repositorio.

¿Cómo puedo ayudar con errores en las reglas?

Navegue hasta el archivo en este repositorio. Haga clic en el símbolo de 'editar' en la esquina superior derecha. Edite el archivo y cree una solicitud de extracción (pull request).

¿Cómo puedo proporcionar una regla YARA o IOCs?

Acepto solicitudes de extracción. Consulte este hilo para obtener ayuda sobre cómo crear dicha solicitud.

¿Cuáles son las diferencias entre THOR Lite y LOKI?

Vea nuestra tabla de comparación aquí.

Licencia

El 13.08.2021 este repositorio cambió su licencia a "Detection Rule License (DRL) 1.1" (URL: https://raw.githubusercontent.com/Neo23x0/signature-base/master/LICENSE). La última versión del conjunto de reglas publicada bajo la antigua CC-BY-NC se puede encontrar aquí.

Todos los archivos de firmas e IOC en este repositorio, excepto las reglas YARA que indican explícitamente una licencia diferente (consulte los metadatos de 'license'), están licenciados bajo la Detection Rule License (DRL) 1.1.