Escritura de la primera regla YARA para la detección de archivos sospechosos
La escritura de una regla YARA es un proceso controlado que equilibra la contención del daño con la preservación de pruebas. Se documentan la fuente, el tiempo y las herramientas, se guarda el Hash, se construye una línea de tiempo y se separa el hecho, la interpretación y la decisión.
La respuesta a incidentes (Incident Response) y DFIR requieren un equilibrio entre velocidad, preservación de pruebas, continuidad del negocio y documentación. Una acción correcta es aquella que se puede explicar, replicar y auditar después del incidente. El presente artículo se centra en la escritura de reglas YARA y está destinado a estudiantes de Malware y Detection. El objetivo es proporcionar una metodología que se pueda aplicar en la práctica, en una entrevista profesional y en un entorno de trabajo, sin limitarse a una definición de diccionario.
El desafío principal es que los datos son casi siempre incompletos. Los metadatos de la regla (rule metadata), las cadenas (strings) y la condición (condition) pueden apuntar en una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la verificación en torno a una pregunta de investigación, las pruebas necesarias y un criterio claro para su finalización.
El escenario práctico en el artículo es: una regla YARA para detectar un archivo de laboratorio con marcadores únicos. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de Penetration Testing, Web o Cloud, solo se debe trabajar con autorización explícita, un alcance definido y la capacidad de detener la prueba.
