Anatomía de una regla YARA-L

Una regla se escribe como rule nombre { ... } y dentro se separan secciones con su etiqueta: meta: guarda datos para las personas (autor, descripción, severidad); events: dice qué eventos del modelo unificado se buscan, con condiciones sobre sus campos; match: agrupa por una clave y una ventana de tiempo; outcome: calcula valores para enriquecer la alerta; condition: define cuándo la regla alerta, y options: ajusta su comportamiento.

Una regla que no tiene sección match se evalúa evento por evento: es una regla de un solo evento. Con match correlaciona varios eventos en el tiempo.

Abre la consola. regla_acceso_prohibido muestra la primera regla con sus líneas numeradas. El bloque meta son pares de nombre y valor; la severidad es solo una etiqueta que ven las personas del turno, no cambia lo que la regla detecta.

Compara las tres reglas: regla_acceso_prohibido, regla_rafaga y regla_destinos. Solo una de ellas no tiene la sección match, así que alerta con un único evento que cumpla sus condiciones.

Una línea de la sección events de esa misma regla compara una dirección con una lista de referencia. Las listas se citan con un % delante del nombre y se tratan en una sala propia de este módulo. Aquí solo hay que localizar el nombre.

carga_de_reglas muestra que una de las tres reglas no cargó. El mensaje habla de la sección match: su línea nombra la clave por la que agrupar ($destino), pero no dice durante cuánto tiempo. Cuando hay match, toda agrupación lleva una ventana.