Signature-Base

Signature-Baseは、当社のスキャナーLOKIおよびTHOR Lite用のYARAシグネチャおよびIOCデータベースです。

Signature-Baseの焦点

1. 誤検出が最小限の高品質なYARAルールとIOC
2. 明確な構造
3. 一貫したルール形式

ディレクトリ構造

• iocs - シンプルなIOCファイル (CSV)
• yara - YARAルール
• threatintel - 脅威インテル APIレシーバー (MISP, OTX)
• misc - その他の入力ファイル (IOCやシグネチャではない)

YARAルールにおける外部変数

YARAルールをLOKIまたはTHOR Lite以外のツールで使用すると、undefined identifierというエラーが発生します。外部変数を使用するルールは ./yara/external-variable-rules.txt にリストされています。CIの構文チェックとアセンブリワークフローはどちらも同じリストを使用します。

上記のエラーメッセージが表示された場合は、これらのファイルを削除してください。

高品質なYARAルールフィード

私のルールが気に入ったら、商用ルールセットおよびルールフィードサービスをチェックしてください。こちらには、より優れた20倍の数のルールが含まれています。

よくある質問 (FAQ)

誤検出を報告するにはどうすればよいですか？

このリポジトリのIssuesセクションを使用してください。

ルールのバグにどう貢献すればよいですか？

このリポジトリ内のファイルに移動してください。右上の"編集"記号をクリックします。ファイルを編集し、プルリクエストを作成してください。

YARAルールやIOCを提供するにはどうすればよいですか？

プルリクエストを受け付けています。このようなリクエストの作成方法については、こちらのスレッドを参照してください。

THOR LiteとLOKIの違いは何ですか？

比較表はこちらをご覧ください。

ライセンス

2021年8月13日、このリポジトリはライセンスを"Detection Rule License (DRL) 1.1"に切り替えました（URL: https://raw.githubusercontent.com/Neo23x0/signature-base/master/LICENSE）。旧CC-BY-NCライセンスでリリースされた最後のルールセットのバージョンはこちらにあります。

このリポジトリ内のすべてのシグネチャおよびIOCファイルは、異なるライセンスを明示的に示すYARAルール（"license"メタデータを参照）を除き、Detection Rule License (DRL) 1.1の下でライセンスされています。