YARA kuralları, dosyalar ve bellek içinde belirli desenleri arayarak zararlı yazılım ailelerini tanımlamaya yarayan bir kural yazım biçimidir. Bir kural, aranacak metin ya da bayt dizilerini ve bunların hangi birleşimde eşleşmesi gerektiğini belirtir. Bu yapı sayesinde tek bir dosya özetine değil, ailenin ortak özelliklerine dayanan tespit yapılabilir. Aynı ailenin farklı kopyaları böylece tek bir kuralla yakalanır. Kurallar okunabilir bir metin biçiminde yazıldığı için paylaşılması ve incelenmesi kolaydır. Bu özellik, sektörde ortak bir dil hâline gelmesini sağlamıştır.

Kuralların en yaygın kullanım alanı zararlı yazılım sınıflandırmasıdır. Bir örnek ele geçirildiğinde, mevcut kural setiyle taranarak bilinen bir aileye ait olup olmadığı hızla belirlenir. İkinci kullanım alanı olay müdahalesidir; analizden çıkan desenler kurala dönüştürülüp ortam genelinde aranır. Üçüncü kullanım alanı ise avcılık çalışmalarıdır. Dördüncü alan, e-posta ve dosya paylaşım sistemlerinde ön eleme yapılmasıdır. Her kullanım aynı kural biçimini paylaşır.

YARA Kuralları Nedir?

YARA kuralları, dosya ve bellek içeriğinde aranacak metin, bayt ve düzenli ifade desenlerini ve bunların eşleşme koşullarını tanımlayan, zararlı yazılım tespiti için kullanılan kural biçimidir.

Bir kural üç bölümden oluşur. Üst veri bölümünde kuralın yazarı, tarihi ve açıklaması yer alır; bu bilgiler kural bakımı için gereklidir. Dize bölümünde aranacak desenler tanımlanır; bunlar metin, onaltılık bayt dizisi ya da düzenli ifade olabilir. Koşul bölümünde ise bu desenlerin hangi birleşimde eşleşmesi gerektiği belirtilir. Koşul, kuralın hassasiyetini belirleyen asıl bölümdür. İyi yazılmış bir koşul, yanlış pozitifi belirgin biçimde azaltır.

Kural Yazımının Temelleri

İyi bir kural, ailenin ayırt edici özelliklerine dayanır. Rastgele seçilmiş bir metin parçası, meşru dosyalarda da bulunabilir ve gürültü üretir. Bu nedenle seçilen desenlerin aileye özgü olması gerekir. Ayırt ediciliği artırmak için birden çok desenin birlikte eşleşmesi koşulu konur. Ayrıca dosya biçimi ve boyut kısıtları eklenerek kapsam daraltılır. Bu kısıtlar, tarama performansını da iyileştirir.

Desen seçiminde kalıcılık da gözetilmelidir. Saldırganın kolayca değiştirebileceği bir metin, kısa ömürlü bir kural üretir. Buna karşılık kodun yapısına ait bayt dizileri daha uzun ömürlüdür. Bu tercih, acı piramidi mantığıyla aynıdır. Değiştirilmesi zor olan özellikler tercih edilir. Kural ömrü böylece uzar.

Kuralların temiz dosya kümeleri üzerinde sınanması zorunludur. Yanlış pozitif üreten bir kural, üretimde ciddi sorun yaratabilir. Sınama için kurumun kendi yazılım envanterinden bir örneklem kullanılabilir. Sınama sonucunda gürültü üreten desenler değiştirilir ya da koşul sıkılaştırılır. Bu döngü, kural kalitesini belirler. Sınanmamış kural üretime alınmamalıdır.

• Üst veri: yazar, tarih, açıklama ve aile bilgisi
• Dizeler: metin, onaltılık bayt dizisi ve düzenli ifadeler
• Koşul: desenlerin eşleşme birleşimi ve ek kısıtlar
• Dosya biçimi ve boyut kısıtlarıyla kapsam daraltma
• Temiz dosya kümesi üzerinde yanlış pozitif sınaması
• Sürüm ve bakım kaydı

Nerelerde Kullanılır?

Kurallar, dosya taramasının yanında bellek taramasında da kullanılabilir. Paketlenmiş bir örnek diskte eşleşme üretmezken, bellekte açıldıktan sonra eşleşir. Bu özellik, gizleme tekniklerine karşı önemli bir avantaj sağlar. Uç nokta çözümlerinin bir kısmı bu taramayı destekler. Adli inceleme araçlarında da bellek görüntüsü üzerinde tarama yapılabilir. İki kullanım birlikte kapsama üretir.

İkinci kullanım alanı, ağ ve e-posta ağ geçitleridir. Gelen dosyalar kurallarla taranarak bilinen ailelere ait olanlar engellenir. Bu tarama, imza tabanlı denetimin bir tamamlayıcısıdır. Kurallar aile düzeyinde çalıştığı için yeni kopyaları da yakalar. Performans etkisi kural sayısıyla artar. Set boyutu yönetilmelidir.

Üçüncü kullanım alanı, olay müdahalesinde kapsam belirlemedir. Analizden çıkan desenler kurala dönüştürülüp tüm uç noktalarda taranır. Bu tarama, etkilenen sistemlerin listesini üretir. Uzlaşma göstergeleri ile birlikte kullanıldığında kapsam netleşir. Tarama süresi ortam büyüklüğüne bağlıdır. Planlama gerekir.

Kural Setinin Yönetimi

Kural setleri zamanla büyür ve bakımsız bırakıldığında performans sorunu üretir. Bu nedenle her kuralın ürettiği eşleşme sayısı izlenmelidir. Hiç eşleşme üretmeyen kurallar ya kaldırılır ya da neden çalışmadığı araştırılır. Aşırı eşleşme üreten kurallar ise sıkılaştırılır. Bu bakım dönemsel yapılır. Ölçüm olmadan bakım yapılamaz.

Kuralların sürüm kontrolünde tutulması da önerilir. Değişikliklerin kim tarafından ve neden yapıldığı kayıt altında olmalıdır. Bu kayıt, bir kuralın neden gürültü ürettiğini araştırırken değerlidir. Ayrıca kural setinin geri alınabilmesini sağlar. Sürüm kontrolü standart bir uygulamadır. Uygulaması kolaydır.

Dış kaynaklı kural setleri de kullanılabilir. Topluluk ve satıcı setleri geniş kapsama sağlar ancak yanlış pozitif riski taşır. Bu setler üretime alınmadan önce kendi ortamınızda sınanmalıdır. Sınama sonucunda gürültü üreten kurallar devre dışı bırakılır. Bu eleme, set kalitesini yükseltir. Süreç düzenli tekrarlanır.

Sık Yapılan Hatalar

İlk hata, çok genel desenler kullanmaktır. Yaygın kütüphane metinleri ya da standart derleyici çıktıları birçok meşru dosyada bulunur. Bu desenlere dayanan kurallar yüksek gürültü üretir. Desen seçiminde ayırt edicilik ölçülmelidir. Temiz küme sınaması bu ölçümü sağlar. Sınama atlanmamalıdır.

İkinci hata, tek bir desene dayanmaktır. Saldırgan o deseni değiştirdiğinde kural işlevsiz kalır. Birden çok desenin birlikte aranması, kuralı daha dayanıklı kılar. Koşul bölümü bu birleşimi tanımlar. Tasarım bu ilkeye göre yapılır. Dayanıklılık artar.

Üçüncü hata, kuralların belgelenmemesidir. Yazarı, tarihi ve gerekçesi bilinmeyen bir kural, sorun çıkardığında değerlendirilemez. Üst veri bölümü bu bilgileri taşır ve doldurulmalıdır. Belgeleme, bakımın ön koşuludur. Disiplin gerektirir. Şablon kullanılabilir.

Kural Türleri ve Kapsam

Kurallar kapsamlarına göre üç grupta değerlendirilebilir. Birinci grup, tek bir örneği hedefleyen dar kurallardır; hızlı yazılır ama kısa ömürlüdür. İkinci grup, bir aileyi hedefleyen kurallardır; ailenin ortak kod özelliklerine dayanır ve çok daha uzun ömürlüdür. Üçüncü grup ise bir tekniği hedefleyen kurallardır; belirli bir paketleyici, karartma yöntemi ya da kütüphane kullanımını arar. Üçüncü grup en geniş kapsamı sunar ama yanlış pozitif riski de en yüksektir. Kapsam seçimi kullanım amacına göre yapılır.

Olay müdahalesinde dar kurallar tercih edilir çünkü kesinlik önemlidir. Avcılık çalışmalarında ise geniş kurallar kullanılır; amaç bilinmeyeni bulmaktır ve bir miktar gürültü kabul edilir. Bu ayrım, kuralların hangi ortamda çalıştırılacağını da belirler. Üretim engelleme akışında yalnızca dar ve sınanmış kurallar bulunmalıdır. Geniş kurallar analiz ortamında çalıştırılır. Karışım sorun üretir.

Kural setinin bu gruplara göre etiketlenmesi yönetimi kolaylaştırır. Etiketler, hangi kuralın nerede çalıştırılacağını belirler. Ayrıca raporlamada da kullanılır. Tehdit avcılığı ekipleri geniş kuralları tercih eder. Etiketleme baştan yapılmalıdır. Sonradan düzenlemek zordur.

Performans ve Ölçek

Kural sayısı arttıkça tarama süresi de artar. Büyük dosya kümelerinde bu artış belirgin hâle gelir. Bu nedenle kuralların dosya biçimi ve boyut kısıtlarıyla daraltılması önerilir. Bir kural yalnızca ilgili dosya türlerinde çalıştırıldığında hem hız hem doğruluk artar. Bu optimizasyon kural yazımının bir parçasıdır. İhmal edildiğinde set yavaşlar.

Düzenli ifadelerin dikkatli kullanılması da gerekir. Karmaşık ifadeler tarama süresini önemli ölçüde uzatabilir. Mümkün olduğunda sabit dizeler tercih edilmelidir. Düzenli ifade yalnızca gerçekten gerekli olduğunda kullanılır. Bu tercih, büyük ölçekli taramalarda fark yaratır. Test ile doğrulanmalıdır.

Tarama işlerinin zamanlaması da planlanmalıdır. Tüm uç noktalarda eş zamanlı tarama, ağ ve sistem yükü üretir. Kademeli tarama bu yükü dağıtır. Olay müdahalesinde ise hız öncelikli olabilir. Karar duruma göre verilir. Planlama önceden yapılır.

Privia Security olarak olay incelemelerinden çıkan desenleri kurallara dönüştürüyor, kural setinin etkinliğini SOC olgunlaştırma kapsamında değerlendiriyoruz.