Criando regras

Crie uma regra ou um conjunto de regras em um namespace de regra. As regras são usadas para ajudar a detectar malware.

Sobre esta tarefa

Para obter um exemplo de como criar uma regra, consulte a guia Guia do tutorial.

Criando regras para o gerenciador de regras YARA

Procedimento

  1. Na guia Gerenciador de Regras YARA , clique em Criar Namespace.
  2. Insira um nome e uma descrição para o namespace.
  3. Inclua uma ou mais regras no namespace.
    • Grave uma ou mais regras diretamente na caixa Editar regras YARA.
    • Faça upload de um arquivo .txt ou .yar que contenha uma ou mais regras.
      1. Clique Em Upload.
      2. Selecione o arquivo .txt ou .yar com suas regras.
      3. Se o prompt Overwrite Rules aparecer, escolha para anexar as regras adicionadas ao namespace ou para sobrescrever todas as regras no espaço de nomes.
    • Importe uma regra do GitHub inserindo um link em um arquivo .yar na caixa URL do GitHub.
      Dica: para importar várias regras de um repositório GitHub , consulte Importando regras do GitHub.
  4. Se solicitado, mapear quaisquer instruções de inclusão nas regras que você está criando ou importando para o espaço de nomes que contém a regra.

    Se a regra existir no mesmo espaço de nomes que você está criando ou importando uma regra para, ou ela estiver em um arquivo que você está importando, selecione Nenhum (Arquivo incluído neste Namespace).

    Dica: Não é possível selecionar o mesmo espaço de nomes para mais de uma instrução de importação de cada vez. Não é possível selecionar um namespace que inclua uma instrução de importação mapeada para outro namespace que você selecionou para mapeamento.
  5. Clique em Salvar.

Criando regras ou procuras de AQL para o gerenciador de regras Sigma

Procedimento

  1. Na guia Gerenciador de Regras SIGMA , clique em SIGMA Conversor de regra
  2. Inclua uma ou mais regras.
    1. Escreva uma ou mais regras diretamente na caixa de regras Editar SIGMA
    2. Upload de um arquivo que contém uma ou mais regras.
    3. Clique em Fazer upload.
    4. Selecione o arquivo com suas regras.
  3. Clique em Converter em uma regra QRadar para converter em uma regra de QRadar
    1. O nome da regra customizada e os filtros de regra serão preenchidos automaticamente
    2. Clique em Salvar como Regra para salvar..
    3. Clique em Editar para editar a regra
  4. Clique em Converter em Procura de AQL para converter em uma procura AQL.
    1. Clique em Executar Varredura para executar a procura.
    2. Clique em Editar para editar a procura