Détection des menaces avec le gestionnaire de règles YARA

Analyser un contenu brut, un fichier ou les résultats d'une requête AQL ou d'une recherche sauvegardée à la recherche de menaces.

A propos de cette tâche

Pour un exemple d'analyse des données en vue de détecter une menace, voir l'onglet Tutorial Guide.

Procédure

  1. Dans l'onglet Investigate , choisissez une source de données.
    Choix Descriptif
    payload Sélectionnez Contenu si vous souhaitez analyser une partie de texte particulière, telle qu'une section d'un fichier journal.
    Recherche avancée (AQL) Sélectionnez Recherche avancée (AQL) si vous souhaitez créer une requête AQL et analyser les résultats de cette requête.
    Recherche sauvegardée Sélectionnez Recherche sauvegardée si vous souhaitez analyser les résultats d'une recherche sauvegardée.
    Transférer le fichier Sélectionnez Transférer le fichier si vous souhaitez télécharger un fichier à analyser.
  2. Choisissez des règles dans un espace de nom.
    Astuce: Vous pouvez répéter cette étape si vous souhaitez sélectionner des règles dans plusieurs espaces de nom.
    1. Choisissez un espace de nom.
    2. Définissez Sélection de règles sur Espace de nom complet ou Règles sélectionnées.
      Tableau 1.
      Choix Descriptif
      Espace de nom complet Sélectionnez Espace de nom complet si vous souhaitez analyser vos données avec toutes les règles de l'espace de nom et renvoyer des résultats en fonction de ce que vous avez sélectionné pour L'échantillon doit correspondre.
      Règles sélectionnées Sélectionnez Règles sélectionnées si vous souhaitez analyser vos données avec seulement certaines des règles disponibles dans l'espace de nom. Sélectionnez les règles dans le menu déroulant Sélection de règle.
    3. Définir Les résultats doivent correspondre à sur Toute règle ou Toutes les règles.
      Tableau 2.
      Choix Descriptif
      N'importe quelle règle Sélectionnez N'importe quelle règle si vous souhaitez analyser vos données avec toutes les règles de l'espace de nom et renvoyer les résultats correspondant à une ou plusieurs règles.
      Toutes les règles Sélectionnez Toutes les règles si vous souhaitez analyser vos données avec toutes les règles de l'espace de nom et renvoyer les résultats correspondant à toutes les règles.
    4. Cliquez sur Ajouter une sélection d'espace de nom pour ajouter l'espace de nom et les règles sélectionnées à l'analyse.
  3. Définissez Configuration des examens sur Les espaces-noms s'exécutent individuellement (tout élément peut correspondre) ou Les espaces-noms s'exécutent ensemble (tous les éléments doivent correspondre).
    Tableau 3.
    Choix Descriptif
    Espaces de nom exécutés individuellement (tout élément peut correspondre) Sélectionnez Espaces de nom exécutés individuellement (tout élément peut correspondre) si vous souhaitez analyser vos données avec toutes les règles sélectionnées et renvoyer des résultats qui correspondent à une ou plusieurs règles.
    Espaces de nom exécutés ensemble (tous les éléments doivent correspondre) Sélectionnez Espaces de nom exécutés ensemble (tous les éléments doivent correspondre) si vous souhaitez analyser vos données avec toutes les règles sélectionnées et renvoyer des résultats qui correspondent à toutes les règles.
  4. Cliquez sur Exécuter l'analyse.