一、yara规则简介
yara是一款强大的模式匹配工具，能够方便的实现恶意代码分析和检测。yara规则是yara的核心，它是一种便于编写和使用的语言，用于描述要寻找的恶意代码特征。yara规则以非常高效的方式扫描文件、进程内存和网络流量，以查找与这些规则匹配的恶意代码。
yara规则语言基于C语言，也包含来自其他语言的某些特性。要编写有用的yara规则，需要熟悉一些基本概念，例如规则语法、匹配模式、元素类型等。总体而言，yara使得确定恶意代码和特征变得更容易，它也是一个值得安全工程师和开发者深入了解的强大工具。
二、网络流量中的yara规则
网络流量是恶意活动的重要来源，恶意软件在收集信息、入侵网络、下载其他恶意软件时使用网络连接。在这种情况下，可以通过yara规则快速检测网络流量中的恶意代码。以下是一个使用yara检测网络流量中的HTTP请求的示例：
rule detect_HTTP {
strings:
$s1 = "GET /index.php?username=*" wide
$s2 = "POST /upload.php" fullword
condition:
$s1 or $s2
}
在这个示例中，规则使用两个字符串来匹配HTTP请求：第一个字符串匹配含有”username”参数的GET请求，第二个字符串匹配上传文件的POST请求。如果匹配到，yara将返回一个匹配结果，说明发现了恶意HTTP流量。
三、网络安全yara规则
为了有效地进行网络安全威胁检测，yara规则需要足够准确，能够快速检测到威胁。以下是一个使用yara检测网络安全威胁的示例：
rule detect_malware {
meta:
author = "John Doe"
date = "2021-04-01"
strings:
$s1 = "gethostbyname" fullword nocase
$s2 = "WNetOpenEnumW" wide
$s3 = "GetClipBoardData" fullword wide
condition:
all of them
}
在这个实例中，规则使用三个字符串来检测恶意活动。其中一个字符串匹配DNS查找，另一个匹配网络资源开启，并且最后一个匹配剪贴板数据获取。如果所有三个字符串都匹配成功，则认为发现了恶意行为，yara将返回一个匹配结果。
四、in规则fortran与yara规则
Fortran与yara规则驱动编程也非常符合，通过in规则fortran，可以将yara和Fortran这两种编程语言结合起来。以下是一个Fortran子程序，它将使用yara规则帮助检测恶意软件：
SUBROUTINE Find_Malware(file_path)
IMPLICIT NONE
CHARACTER(LEN=*), INTENT(IN) :: file_path
LOGICAL :: found_malware
INTEGER :: yara_count
INTEGER :: yara_error
INTEGER :: yara_result
CHARACTER(LEN=:),ALLOCATABLE :: yara_error_msg
CHARACTER(LEN=:),ALLOCATABLE :: yara_rule
found_malware = .FALSE.
! Compile yara rule
yara_rule = 'rule malware { strings: $s1 = "evil_code" wide condition: $s1 }'
CALL yr_compiler_create(RuleCompiler)
CALL yr_compiler_add_string(RuleCompiler, yara_rule)
CALL yr_compiler_get_rules(RuleCompiler, Rules)
! Scan file with yara rule
yara_result = yr_rules_scan_file(Rules, file_path, 0, Callback, yara_count, &
flags=0, error_message=yara_error_msg, &
error=yara_error)
! Check if malware is found
IF (yara_result = ERROR_SUCCESS AND yara_count > 0) THEN
found_malware = .TRUE.
END IF
! Free up resources
CALL yr_rules_destroy(Rules)
CALL yr_compiler_destroy(RuleCompiler)
END SUBROUTINE Find_Malware
在这个实例中，Fortran程序使用yara编译器创建一个名为”malware”的规则，并使用yr_rules_scan_file函数扫描文件。如果扫描成功且包含”evil_code”，则它将返回一个匹配结果，表明文件中包含恶意代码。
因此，Fortran与yara规则结合使用，使得检测恶意软件变得更加容易和高效。
原创文章，作者：小蓝，如若转载，请注明出处：https://www.506064.com/n/248991.html
微信扫一扫 
支付宝扫一扫 