【ヤラルール】
YARAルール とは？
最終更新:
💡 特徴と条件で、調べる対象を見つける
ファイルやプロセスメモリなどの特徴と、照合する条件を記述するYARAのルール。文字列・バイト列・正規表現などで、マルウェアの識別や種類分けを助ける。一致は条件を満たしたという意味で、安全・危険の確定ではない。
📌 このページのポイント
ひよこ YARAルールは何をするの？
ペンギン先生 ひよこ 一致したらマルウェアで、不一致なら安全？
ペンギン先生 どちらも断定できないよ。一致は指定した条件を満たしたということ。正常なファイルが一致する誤検知も、特徴が変わって一致しなくなる見逃しもあり得る。結果は追加分析の手がかりとして扱おう。
ひよこ ルールには何を書くの？
ペンギン先生 stringsに特徴を書き、conditionに満たす条件を書くのが基本だよ。たとえば2 of themなら、定義した特徴のうち2個以上が見つかる条件になる。conditionは必須だけれど、特徴の文字列を使わないルールではstringsを省略できるんだ。
ひよこ アンチウイルスソフトを置き換える？
ペンギン先生 YARAは自分で記述したルールを照合する道具だよ。アンチウイルス製品の保護機能全体と同じものではない。未知の対象を自動的にすべて見分けるのではなく、調べる目的に合う特徴と条件を作るんだ。
ひよこ 新しい特徴を追加すれば終わり？
ペンギン先生 既知のサンプルだけでなく、正常な対象にも試して誤検知を確認しよう。特徴の変化や対象形式に応じて見直す。YARA本体は現在保守モードなので、利用する実装や版の対応構文も公式資料で確認することが大切だね。
まとめ：ざっくりこれだけ覚えればOK！
「YARAルール」って出てきたら「特徴と条件でファイルなどを照合するルール」と思えればだいたいOK！
📖 おまけ：英語の意味
「YARA rule」 ＝ YARAの照合ルール
💬 ruleは規則という意味だよ。YARAでは、特徴と論理条件による記述をルールと呼ぶんだ。