Bedrohungen mit YARA Rule Manager erkennen

Scannen Sie unaufbereitete Nutzdaten, eine Datei oder die Ergebnisse einer AQL-Abfrage oder gespeicherten Suche nach Bedrohungen.

Informationen zu dieser Task

Ein Beispiel dafür, wie Sie Daten scannen, um eine Bedrohung zu erkennen, finden Sie auf der Registerkarte Lernprogrammhandbuch.

Vorgehensweise

  1. Wählen Sie auf der Registerkarte Untersuchen eine Datenquelle aus.
    Auswahloption Beschreibung
    payload Wählen Sie Nutzdaten aus, wenn Sie ein bestimmtes Textbit scannen möchten, beispielsweise einen Abschnitt einer Protokolldatei.
    Erweiterte Suche (AQL) Wählen Sie Erweiterte Suche (AQL) aus, wenn Sie eine AQL-Abfrage erstellen und die Ergebnisse dieser Abfrage scannen möchten.
    Gespeicherte Suche Wählen Sie Gespeicherte Suche aus, wenn Sie die Ergebnisse einer gespeicherten Suche scannen möchten.
    Datei hochladen Wählen Sie Datei hochladen aus, wenn Sie eine Datei zum Scannen hochladen möchten.
  2. Regeln aus einem Namensbereich auswählen.
    Tipp: Sie können diesen Schritt wiederholen, wenn Sie Regeln aus mehreren Namensbereichen auswählen wollen.
    1. Wählen Sie einen Namensbereich aus.
    2. Setzen Sie Regelauswahl auf Gesamter Namensbereich oder Ausgewählte Regeln.
      Tabelle 1.
      Auswahloption Beschreibung
      Gesamter Namensbereich Wählen Sie Gesamter Namensbereich aus, um Ihre Daten mit allen Regeln im Namensbereich zu scannen und Ergebnisse auf der Basis dessen zurückzugeben, was Sie für Beispiel muss übereinstimmenausgewählt haben.
      Ausgewählte Regeln Wählen Sie Ausgewählte Regeln aus, wenn Sie Ihre Daten nur mit einigen der Regeln scannen möchten, die im Namensbereich verfügbar sind. Wählen Sie die Regeln im Dropdown-Menü Regelauswahl aus.
    3. Set Results must match to Beliebige Regel or Alle Regeln.
      Tabelle 2.
      Auswahloption Beschreibung
      Beliebige Regel Wählen Sie Beliebige Regel aus, wenn Sie Ihre Daten mit allen Regeln im Namensbereich scannen und Ergebnisse zurückgeben möchten, die mindestens einer der Regeln entsprechen.
      Alle Regeln Wählen Sie Alle Regeln aus, wenn Sie Ihre Daten mit allen Regeln im Namensbereich scannen und Ergebnisse zurückgeben möchten, die allen Regeln entsprechen.
    4. Klicken Sie auf Namensbereichsauswahl hinzufügen , um den Namensbereich und ausgewählte Regeln zum Scan hinzuzufügen.
  3. Setzen Sie Scankonfiguration auf Namensbereiche einzeln ausführen (jedes Element kann übereinstimmen) oder Namensbereiche werden zusammen ausgeführt (alle Elemente müssen übereinstimmen).
    Tabelle 3.
    Auswahloption Beschreibung
    Namensbereiche werden einzeln ausgeführt (jedes Element kann übereinstimmen) Wählen Sie Namensbereiche einzeln ausführen (jedes Element kann übereinstimmen) aus, um Ihre Daten mit allen ausgewählten Regeln zu scannen und Ergebnisse zurückzugeben, die mindestens einer der Regeln entsprechen.
    Namensbereiche werden zusammen ausgeführt (alle Elemente müssen übereinstimmen) Wählen Sie Namensbereiche werden zusammen ausgeführt (alle Elemente müssen übereinstimmen) aus, wenn Sie Ihre Daten mit allen ausgewählten Regeln scannen und Ergebnisse zurückgeben wollen, die allen Regeln entsprechen.
  4. Klicken Sie auf Scan ausführen.