Detección de amenazas con el gestor de reglas YARA

Explore una carga útil, un archivo o los resultados de una consulta AQL o de una búsqueda guardada para detectar amenazas.

1. En la pestaña Investigar , elija un origen de datos.

   Opción	Descripción
   payload	Seleccione Carga útil si desea explorar un determinado bit de texto, como por ejemplo una sección de un archivo de registro.
   Búsqueda avanzada (AQL)	Seleccione Búsqueda avanzada (AQL) si desea crear una consulta AQL y explorar los resultados de dicha consulta.
   Búsqueda guardada	Seleccione Búsqueda guardada si desea explorar los resultados de una búsqueda guardada.
   Cargar archivo	Seleccione Cargar archivo si desea cargar un archivo para explorar.

2. Elija reglas de un espacio de nombres.
   Sugerencia: Puede repetir este paso si desea seleccionar reglas de varios espacios de nombres.
   1. Elija un espacio de nombres.
   2. Establezca Selección de regla en Espacio de nombres completo o Reglas seleccionadas.

      Tabla 1.

      Opción	Descripción
      Espacio de nombres completo	Seleccione Espacio de nombres completo si desea explorar los datos con todas las reglas del espacio de nombres y devolver los resultados basándose en lo que ha seleccionado para El ejemplo debe coincidir.
      Reglas seleccionadas	Seleccione Reglas seleccionadas si desea explorar los datos con solo algunas de las reglas que están disponibles en el espacio de nombres. Seleccione las reglas en el menú desplegable Selección de reglas.

   3. Establecer Los resultados deben coincidir con Cualquier regla o Todas las reglas.

      Tabla 2.

      Opción	Descripción
      Cualquier regla	Seleccione Cualquier regla si desea explorar los datos con todas las reglas del espacio de nombres y devolver resultados que coincidan con una o con varias de las reglas.
      Todas las reglas	Seleccione Todas las reglas si desea explorar los datos con todas las reglas del espacio de nombres y devolver resultados que coincidan con todas las reglas.

   4. Pulse Añadir selección de espacio de nombres para añadir el espacio de nombres y las reglas seleccionadas al escaneo.
3. Establezca Configuración de exploración en Espacios de nombres ejecutados individualmente (cualquier elemento puede coincidir) o Espacios de nombres ejecutados juntos (todos los elementos deben coincidir).

   Tabla 3.

   Opción	Descripción
   Los espacios de nombres se ejecutan individualmente (cualquier elemento puede coincidir)	Seleccione Espacios de nombres ejecutados individualmente (cualquier elemento puede coincidir) si desea explorar los datos con todas las reglas seleccionadas y devolver resultados que coincidan con una o más de las reglas.
   Los espacios de nombres se ejecutan juntos (todos los elementos deben coincidir)	Seleccione Espacios de nombres ejecutados juntos (todos los elementos deben coincidir) si desea explorar los datos con todas las reglas seleccionadas y devolver resultados que coincidan con todas las reglas.

4. Pulse Ejecutar exploración.