Escrita de uma primeira regra YARA para identificar um ficheiro suspeito
A escrita de regras YARA é um processo controlado que equilibra a contenção de danos com a preservação de provas. Documente a fonte, o tempo e as ferramentas, guarde o Hash, construa uma Linha do Tempo e separe factos, interpretações e decisões.
A Resposta a Incidentes (Incident Response) e o DFIR (Digital Forensics and Incident Response) exigem um equilíbrio entre velocidade, preservação de provas, continuidade de negócios e documentação. Uma ação correta é uma ação que pode ser explicada, reproduzida e revista após o incidente. Este artigo foca-se na escrita de regras YARA e destina-se a estudantes de Malware e Deteção. O objetivo é fornecer uma metodologia de trabalho que possa ser aplicada na prática, em entrevistas profissionais e em ambientes de trabalho, sem se limitar a uma definição de dicionário.
O principal desafio é que os dados são quase sempre parciais. Os metadados da regra, as strings e a condição podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construiremos a verificação em torno de uma questão de investigação, provas necessárias e um critério claro para a conclusão.
O cenário prático neste artigo é: uma regra YARA para identificar um ficheiro de laboratório com marcadores únicos. Todas as amostras são dados de laboratório ou descrições de processos. No caso de Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com autorização explícita, um Scope definido e a capacidade de interromper o teste.
