IRFuzz - यारा नियमों के साथ सरल स्कैनर

IRFuzz, दस्तावेज़ संग्रह या किसी भी फ़ाइल के लिए यारा नियमों वाला एक सरल स्कैनर है।

स्थापना

1. पूर्वापेक्षाएँ

Linux या OS X

Yara: बस नवीनतम रिलीज़ स्रोत कोड का उपयोग करें, इसे संकलित और स्थापित करें (या इसे pip install yara-python के माध्यम से स्थापित करें)
Yara Rules - आप यहाँ से यारा नियम डाउनलोड कर सकते हैं या अपना स्वयं का कस्टम नियमसेट आयात कर सकते हैं।
Python निर्भरताएँ

निर्भरताएँ pipenv से प्रबंधित की जाती हैं। आरंभ करने के लिए निम्नलिखित कमांड के साथ निर्भरताएँ स्थापित करें और वर्चुअल वातावरण सक्रिय करें:

$ pipenv install

$ pipenv shell

IRFuzz - Watchd चलाना

alt text

IRFuzz चलाना

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv

समर्थित सुविधाएँ

inotify के साथ नई फ़ाइलों को स्कैन करता है
यदि inotify समर्थित नहीं है तो पोलिंग
कस्टम एक्सटेंशन समर्थित हैं
Delete मोड मिलान की गई फ़ाइल को हटा देगा
पुनरावर्ती निर्देशिका स्कैन
ctime के साथ yarastrings के साथ मिलान किए गए Yara फ़ंक्शनों को सूचीबद्ध करता है
Filebeat के लिए CSV परिणाम

कस्टम एक्सटेंशन

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .zip,.rar

मिलान यारा नियम अलर्ट

https://irfuzz.com/tokens से टोकन उत्पन्न करें

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .php --token tokenhere

वेबसाइट से Telegram या अपने ईमेल पर अलर्ट कॉन्फ़िगर करें।

मिलान की गई फ़ाइल हटाएँ

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --delete

पोलिंग (inotify समर्थित नहीं)

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --polling

--poll विकल्प जोड़ता है ताकि डेटा निर्देशिका में परिवर्तनों का पता लगाने के लिए पोलिंग तंत्र का उपयोग करने पर बल दिया जा सके। पोलिंग OS में अंतर्निहित तंत्र की तुलना में धीमी है, लेकिन यह SMB माउंट जैसी कुछ फ़ाइल सिस्टम के साथ आवश्यक है।

डिफ़ॉल्ट एक्सटेंशन यदि कोई एक्सटेंशन उल्लिखित नहीं है।

Microsoft Office Word समर्थित फ़ाइल प्रारूप

.doc .docm .docx .docx .dot .dotm .dotx .odt

Microsoft Office Excel समर्थित फ़ाइल प्रारूप

.ods .xla .xlam .xls .xls .xlsb .xlsm .xlsx .xlsx .xlt .xltm .xltx .xlw

Microsoft Office PowerPoint समर्थित फ़ाइल प्रारूप

.pot .potm .potx .ppa .ppam .pps .ppsm .ppsx .ppt .pptm .pptx .pptx .pptx

zipdump.py

IRFuzz, जिप फ़ाइल विश्लेषण के लिए zipdump.py का उपयोग करता है।

IRFuzz

सबसे लोकप्रिय