Signature-Base

Signature-Base 是我们扫描器 LOKI 和 THOR Lite 的 YARA 签名和 IOC 数据库。

Signature-Base 的侧重点

1. 高质量 YARA 规则和 IOC，误报最少
2. 清晰的结构
3. 一致的规则格式

目录结构

• iocs - 简单的 IOC 文件（CSV）
• yara - YARA 规则
• threatintel - 威胁情报 API 接收器（MISP, OTX）
• misc - 其他输入文件（非 IOC 或签名）

YARA 规则中的外部变量

在 LOKI 或 THOR Lite 以外的工具中使用 YARA 规则时，会出现错误提示 undefined identifier。使用外部变量的规则列表位于 ./yara/external-variable-rules.txt。CI 语法检查和汇编工作流均使用该列表。

如果遇到上述错误信息，只需移除这些文件即可。

高质量 YARA 规则订阅

如果您喜欢我的规则，请查看我们的 商业规则集和规则订阅服务，该服务包含质量更高、数量多 20 倍的规则。

常见问题

如何报告误报？

请使用本仓库的 Issues 区。

如何帮助修复规则中的错误？

导航到本仓库中的文件。点击右上角的“编辑”符号。编辑文件并创建 Pull Request。

如何提供 YARA 规则或 IOC？

我接受 Pull Request。请参阅此 推文 了解如何创建此类请求。

THOR Lite 和 LOKI 有什么区别？

请参见我们的对比表 此处。

许可证

本仓库于 2021 年 8 月 13 日切换许可证至“检测规则许可证 (DRL) 1.1”（URL：https://raw.githubusercontent.com/Neo23x0/signature-base/master/LICENSE）。旧版 CC-BY-NC 许可证下发布的最后一个规则集版本可在 此处 找到。

本仓库中的所有签名和 IOC 文件（除非 YARA 规则明确标示了不同的许可证，请参见“许可证”元数据）均基于 检测规则许可证 (DRL) 1.1 授权。