Anatomía de una regla

5 tareas · 40 min · Principiante

Hasta ahora las detecciones de la ruta miraban eventos: lo que un equipo hacía. Una regla de contenido mira otra cosa, lo que un archivo lleva escrito por dentro, y por eso se lee distinto. En Cerámicas Cusumbo el equipo de detección heredó dos archivos de reglas en formato YARA y nadie del turno sabe leerlos. Los abres uno por uno: qué bloques tiene una regla, qué es cada tipo de cadena, qué dice una condición con tamaño incluido y para qué sirven las reglas privadas y globales. No se escribe ni se ejecuta nada: es lectura de reglas con marcadores inventados de una familia ficticia.

0 de 5 · 0%

Objetivo de la sala

Una regla de contenido tiene un nombre y hasta tres bloques. En meta van datos sobre la regla misma: quién la escribió, cuándo, en qué se apoya. En strings se declaran los trozos de contenido que se buscan, cada uno con un identificador que empieza por $. En condition se dice qué combinación de esas cadenas, y con qué requisitos extra, hace que el archivo cuente como coincidencia.

Los valores de meta son para las personas y para las herramientas que listan las reglas: no se pueden usar dentro de la condición. Y la regla no sabe qué hace un archivo: solo afirma que dentro hay estas cosas a la vez.

Responde para continuar

¿Qué bloque es el único obligatorio en una regla?

condition, porque es la que dice qué combinación de cadenas o requisitos hace coincidir al archivo strings, porque sin cadenas declaradas la regla no tiene nada que buscar dentro del archivo analizado meta, porque toda regla debe nombrar a su autor y su fecha para poder revisarse más tarde por otra persona

Ver pista de ayuda

Existen reglas sin cadenas, como las que solo miran el tamaño del archivo; la que nunca falta es la que decide.

Abre /reglas/ccu_hoja_pedidos.yar. Hay cuatro cadenas y no son del mismo tipo. Una cadena de texto va entre comillas, y puede llevar modificadores como ascii o wide. Una cadena hexadecimal va entre llaves, con bytes en pares; ?? es un comodín que acepta cualquier byte en esa posición. Una expresión regular va entre barras y describe una forma en lugar de un valor exacto.

Cada tipo cuesta distinto de mantener: el texto exacto es el más fácil de entender y de explicar; el hexadecimal sirve para bytes que no son texto; la expresión regular es potente pero más difícil de probar y de leer.

Responde para continuar

Escribe el identificador de la cadena de esa regla que está escrita en hexadecimal.

Ver pista de ayuda

Busca las llaves con pares de bytes y comodines. El identificador empieza por el signo de dólar.

La condición de CCU_Hoja_Pedidos_Marcada mezcla tres cosas: un límite de tamaño, una cadena que debe estar y una de dos alternativas. Leer una condición es leerla de izquierda a derecha respetando los paréntesis: todo lo que une un and tiene que cumplirse a la vez.

El tamaño se escribe con sufijos. En la documentación del formato, KB multiplica por 1024 y MB por 1048576, y el archivo se mide en bytes. Una diferencia pequeña entre «300 mil bytes» y «300 KB» decide si un archivo de 305000 bytes entra o no.

Responde para continuar

Escribe cuántos bytes tiene el límite de tamaño de la regla de pedidos, sin puntos ni espacios.

Ver pista de ayuda

Lee el valor y el sufijo en la línea condition y multiplica por el factor del sufijo.

Abre /reglas/ccu_auxiliares.yar. Hay tres reglas. Una regla privada no aparece en la salida cuando coincide, pero otras reglas pueden apoyarse en ella: sirve para guardar una comprobación que se repite, como «el archivo empieza con la cabecera de un ejecutable». Una regla global es distinta: debe cumplirse para que cualquier otra regla pueda coincidir en ese conjunto.

Un lector que no sabe esto ve tres reglas y piensa que una sola puede dar alertas. Lo que se ve y lo que se evalúa no es lo mismo.

Responde para continuar

Escribe el nombre de la regla privada de ese archivo.

Ver pista de ayuda

Mira el principio de cada regla: una lleva una palabra antes de rule.

En el mismo archivo, CCU_Global_Tamano pide que el archivo pese menos de un tamaño fijo y no tiene cadenas. La condición no menciona a ninguna otra regla, pero afecta a todas las del conjunto.

Responde para continuar

¿Qué efecto tiene CCU_Global_Tamano sobre las demás reglas que se cargan junto a ella?

Ningún archivo que la incumpla puede coincidir con otra regla del conjunto, aunque sus cadenas estén dentro Reduce el tiempo de análisis porque el motor deja de leer el contenido de los archivos que pesan menos del límite Marca todos los archivos pequeños como sospechosos y los muestra en la salida aunque ninguna otra regla coincida con ellos Se evalúa solo cuando CCU_Instalador_Arcilla coincide, para confirmar el tamaño del instalador que esa regla acaba de marcar

Ver pista de ayuda

Una regla global es un requisito previo para el resto, no una detección por sí misma.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Los tres bloques

2 Cuatro tipos de cadena Lab

3 Una condición con tamaño Lab

4 La regla que no sale en la lista Lab

5 Qué hace una regla global

Whoami-Labs Pro utiliza cookies