Reglas YARA para escaneo de artefactos en disco o memoria

3 tareas · 20 min · Principiante

Diseña firmas YARA para detectar artefactos ofensivos, cargadores reflexivos y secuencias de bytes sospechosas en inspecciones de memoria y disco.

0 de 3 · 0%

Objetivo de la sala

Diseña firmas YARA para detectar artefactos ofensivos, cargadores reflexivos y secuencias de bytes sospechosas en inspecciones de memoria y disco.

Para auditar si balizas o inyectores de código permanecen en la memoria RAM de los endpoints evaluados, los ingenieros redactan firmas YARA orientadas a patrones binarios.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Indica el nombre de la regla YARA documentada en reglas_yara_artefactos.yar.

Ver pista de ayuda

Consulta el nombre de la regla en reglas_yara_artefactos.yar.

Los ejecutables portables de Windows inician con una secuencia específica de bytes conocida como número mágico MZ en el inicio del archivo o región de memoria.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Extrae el identificador del patrón hexadecimal inicial documentado en la regla YARA.

Ver pista de ayuda

Revisa el patrón hexadecimal al final de reglas_yara_artefactos.yar.

¿Cómo se utilizan las reglas YARA de forma complementaria a las reglas SIEM de telemetría de eventos?

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Determina el rol complementario de las reglas YARA en la ingeniería de detección.

Se utilizan para escanear archivos en reposo y volcados de memoria buscando cadenas y secuencias de bytes específicas de artefactos Reemplazan los registros de firewall y bloquean direcciones IP en tiempo real Se ejecutan para acelerar el arranque del sistema operativo en estaciones de trabajo Sirven exclusivamente para configurar permisos de acceso a carpetas compartidas

Ver pista de ayuda

YARA inspecciona contenido en disco y memoria buscando patrones de código.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: detection-yara.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Nombre de la Regla YARA Lab

2 Cabecera Hexadecimal de Binarios Lab

3 Aplicación de Reglas YARA en Respuesta a Incidentes Lab

Whoami-Labs Pro utiliza cookies