Erfahren Sie, wofür das Modul „YARA-Regeln“ der Clean-Mailbox-Oberfläche dient, wie Regelstatus und Aktionen funktionieren, und starten Sie mit einem konkreten Beispiel.
Beta-Funktion: Das Modul YARA-Regeln befindet sich derzeit in der Beta-Phase. Verhalten und Oberfläche können sich ändern, und es sind noch Ecken und Kanten möglich. Senden Sie uns gern Ihr Feedback.
Die Filter von Clean Mailbox (Virenschutz, Spamschutz) schützen vor bekannten Bedrohungen. Das Modul YARA-Regeln ergänzt sie um Ihre eigenen Regeln, um Fälle zu behandeln, die für Ihre Organisation spezifisch sind: eine Phishing-Kampagne, die Ihre Geschäftsleitung imitiert, betrügerische Rechnungen, die immer wieder mit demselben Wortlaut eintreffen, ein Schlüsselwort, das bestimmte Postfächer nie erreichen soll, und so weiter.
YARA ist eine Sprache zur Beschreibung von Mustern: Eine Regel beschreibt Zeichenfolgen (oder reguläre Ausdrücke), nach denen in einer Nachricht gesucht wird, und eine Bedingung, die festlegt, wann die Regel „zutrifft". Clean Mailbox prüft jede für Ihre Domain eingehende Nachricht anhand Ihrer Regeln und wendet dann die von Ihnen gewählte Aktion an.
Öffnen Sie in der Clean-Mailbox-Oberfläche Ihre Domain und dann das Menü YARA-Regeln. Das Modul ist den Domain-Administratoren vorbehalten und muss für die Domain aktiviert sein: Ist der Menüeintrag nicht sichtbar, kontaktieren Sie uns, damit wir ihn aktivieren.
Auf dieser Seite können Sie Regeln erstellen, bearbeiten, neu anordnen und löschen sowie eine .yar-Datei importieren oder exportieren. Jeder Eintrag enthält eine einzelne YARA-Regel mit:
Beim Speichern wird die Regel validiert: Ist ihre Syntax ungültig, wird der YARA-Fehler angezeigt und nichts gespeichert.
Der Status legt fest, ob die Regel ausgewertet wird und ob ihre Aktion tatsächlich angewendet wird.
| Status | Wird die Regel ausgewertet? | Auswirkung auf E-Mails |
|---|---|---|
| Inaktiv | Nein | Keine. Die Regel wird aufbewahrt, aber ignoriert; sie zählt nicht zu Ihren Limits. |
| Audit (nur protokollieren) | Ja | Keine auf die Nachricht, die normal zugestellt wird. Jeder Treffer wird zusammen mit dem aufgezeichnet, was die Regel getan hätte („hätte markiert" oder „hätte blockiert"). |
| Aktiv | Ja | Die Aktion der Regel wird auf die Nachricht angewendet: Ein Tag wird dem Betreff hinzugefügt oder die Nachricht wird blockiert. |
Empfohlene Vorgehensweise: Legen Sie eine neue Regel immer im Status Audit an. Lassen Sie sie einige Tage laufen, prüfen Sie ihre Treffer, vergewissern Sie sich, dass sie nur erfasst, was Sie beabsichtigen, und schalten Sie sie dann auf aktiv. Eine zu weit gefasste Regel kann sonst legitime E-Mails blockieren.
Eine inaktive Regel ist praktisch, um eine Regel beiseitezulegen (zum Beispiel für eine beendete Kampagne), ohne sie zu verlieren, oder um eine importierte Regel vorzubereiten, bevor Sie sie testen. Inaktive Regeln zählen nicht zu den Limits für Regeln und Muster.
Die Aktion wird nur angewendet, wenn die Regel aktiv ist (im Audit wird sie nur protokolliert).
Die Nachricht wird zugestellt, aber der von Ihnen definierte Tag-Text wird an den Anfang ihres Betreffs gesetzt, zum Beispiel [VERDÄCHTIGE RECHNUNG] Ihre Rechnung Nr. 4821. Der Empfänger behält das letzte Wort und wird dennoch gewarnt; Sie können sich außerdem auf diesen Tag stützen, um in Ihrer E-Mail-Plattform eine Sortierregel zu erstellen (in einen Ordner verschieben, ein Team benachrichtigen usw.).
Die Nachricht wird nicht zugestellt: Sie wird entfernt, bevor sie das Postfach des Empfängers erreicht, ohne Benachrichtigung des Absenders. Eine Kopie wird in Ihrer Quarantäne aufbewahrt, wo Sie sie prüfen und bei einem Fehlalarm wiederherstellen können.
| Status | Aktion „Markieren" | Aktion „Blockieren" |
|---|---|---|
| Inaktiv | Nichts (Regel ignoriert) | Nichts (Regel ignoriert) |
| Audit | Nachricht unverändert zugestellt; „hätte markiert" in der Nachverfolgung | Nachricht unverändert zugestellt; „hätte blockiert" in der Nachverfolgung |
| Aktiv | Nachricht zugestellt, Tag im Betreff hinzugefügt | Nachricht entfernt, Kopie in Quarantäne aufbewahrt |
Die Regeln werden in der Reihenfolge ausgewertet, in der sie in der Tabelle stehen (verschieben Sie sie mit den Pfeilen nach oben oder unten). Eine Regel im Audit beeinflusst nie, was danach kommt: Sie wird protokolliert, und die Auswertung wird fortgesetzt.
Bei einer aktiven Regel mit der Aktion „Markieren" legt das Feld Wenn die Regel zutrifft fest, was als Nächstes geschieht:
Eine blockierende Regel hält immer an: Diese Auswahl gibt es daher nur für Tags. Setzen Sie Ihre sichersten blockierenden Regeln an den Anfang.
Ziel: gefälschte Aufforderungen zur Änderung von Bankdaten erkennen, ein Klassiker des CEO-Betrugs, und den Empfänger darauf hinweisen, ohne zunächst etwas zu blockieren.
rule Bank_details_change_fraud
{
meta:
description = "Aufforderung zur Änderung der Bankverbindung"
strings:
$bank1 = "Änderung der Bankverbindung" nocase
$bank2 = "neue Bankverbindung" nocase
$bank3 = "neue IBAN" nocase
$urgent1 = "dringend" nocase
$urgent2 = "heute" nocase
$urgent3 = "vertraulich" nocase
condition:
any of ($bank*) and any of ($urgent*)
}Diese Regel trifft auf eine Nachricht zu, die mindestens einen Ausdruck zu Bankdaten und mindestens einen Begriff der Dringlichkeit enthält. Beides zu verlangen begrenzt Fehlalarme: Ein bloßes „IBAN" in einer legitimen Rechnung genügt nicht.
| Feld | Wert |
|---|---|
| Titel | Betrug durch Änderung der Bankverbindung |
| Status | Zu Beginn Audit |
| Aktion | Markieren |
| Tag | [BANKDATEN PRÜFEN] |
| Wenn die Regel zutrifft | Fortfahren |
[BANKDATEN PRÜFEN] im Betreff an.Eine Regel trifft nur zu, wenn alle Elemente ihrer condition erfüllt sind. Testen Sie Ihre Regeln immer im Audit, bevor Sie sie aktivieren, und bevorzugen Sie präzise Muster gegenüber sehr gebräuchlichen Wörtern.
Die Seite YARA-Regeln zeigt für jede Regel die Anzahl der Treffer in den letzten 30 Tagen (einschließlich Audit), darunter wie oft die Aktion tatsächlich angewendet wurde, sowie die 20 letzten Treffer.
Die Echtzeit-Ansicht erlaubt es außerdem, jede betroffene Nachricht zu finden. Von Ihren Regeln blockierte Nachrichten sind dort entsprechend gekennzeichnet; sie befinden sich auch in Ihrer Quarantäne.
strings). Inaktive Regeln zählen nicht;include steht nicht zur Verfügung;nocase, um nicht von der Groß- und Kleinschreibung abzuhängen, sowie präzise Ausdrücke, um Fehlalarme zu begrenzen;Einfache Regeln wie die im Beispiel lassen sich ohne vertiefte Kenntnisse schreiben: eine Liste von Zeichenfolgen und eine Bedingung. Für fortgeschrittene Fälle beschreibt die offizielle YARA-Dokumentation die Sprache im Detail.
Die Nachricht wird normal zugestellt: Die Analyse ist zeitlich begrenzt, und eine fehlschlagende Regel wird ignoriert, ohne dass die anderen daran gehindert werden, zu greifen.
Nein. Sie wird in Ihrer Quarantäne aufbewahrt, wo Sie sie prüfen und bei einem Fehlalarm wiederherstellen können.
Eine Regel im Audit wird ausgewertet, und ihre Treffer werden aufgezeichnet, ohne Auswirkung auf E-Mails. Eine inaktive Regel wird überhaupt nicht ausgewertet.
Unser Support hilft Ihnen, das Modul für Ihre Domain zu aktivieren und seine Konfiguration zu validieren. Das Schreiben und Pflegen der Regeln selbst liegt weiterhin in Ihrer Verantwortung.
Fragen zum Test, zur Einrichtung, zu den Preisen oder zu einer Partnerschaft? Wir sind für Sie da — und antworten schnell.