Listeler, aramalar ve koşullar

Tek bir aramanın içinde

Önceki dersin kuralları bir arada:

• Aynı arama adı altındaki koşulların hepsi eşleşmelidir (VE).
• Bir listedeki değerler seçeneklerdir: herhangi biri yeter (VEYA).
• all modifier'ı listeyi VE'ye çevirir: CommandLine|contains|all: ['/create', '/xml'] iki metnin de geçmesini ister.

Bir arama, map'lerden oluşan bir liste de olabilir. Her map bir seçenektir:

selection:
  - Image|endswith: '\schtasks.exe'
  - OriginalFileName: 'schtasks.exe'

Bu, programı yoluyla ya da dosyanın içine yazılan adla, hangisi varsa onunla eşleştirir.

Birden çok arama ve condition

detection istenen sayıda adlandırılmış arama içerebilir. condition onları and, or, not ve parantezlerle birleştirir:

detection:
  selection:
    Image|endswith: '\schtasks.exe'
  filter_office:
    ParentImage|endswith: '\OfficeClickToRun.exe'
  condition: selection and not filter_office

Geleneksel olarak etkinliği tarif eden aramaya selection..., bilinen normal durumları çıkaran aramaya filter... adı verilir. Adlar serbesttir, ama kuralı okuyanlar bu geleneğe güvenir.

Çok sayıda arama olduğunda iki kısayol işe yarar:

• 1 of selection_*: adı selection_ ile başlayan aramalardan en az biri eşleşir.
• all of selection_*: bu aramaların hepsi eşleşir.
• them bütün aramalar yerine geçer: 1 of them.

Filtre kuralın parçasıdır

Bir filtre "burada bu normal" der. Bir kuralın en sık ters yönde yanıldığı yer burasıdır. ParentImage|endswith: '\Integrator.exe', saldırganın Integrator.exe adını verdiği her programı, nereden çalışırsa çalışsın, gizler. Tam yol daha dardır: ParentImage: 'C:\Program Files (x86)\Microsoft Office\root\Integration\Integrator.exe' (yazmak için yönetici yetkisi gereken bir klasör). Elinizdeki en belirgin değerlere göre filtreleyin ve filtrenin neden var olduğunu kurala yazın. Sonraki ders filtreleri temiz bir Windows 10 makinesinin logları üzerinde ölçüyor.