Regole YARA: filtra le tue email con regole personalizzate

A cosa serve

I filtri di Clean Mailbox (antivirus, antispam) proteggono dalle minacce note. Il modulo Regole YARA li completa con le tue regole, per gestire i casi specifici della tua organizzazione: una campagna di phishing che si spaccia per la tua direzione, fatture fraudolente che tornano sempre con le stesse parole, una parola chiave che non vuoi mai veder arrivare in certe caselle, e così via.

YARA è un linguaggio di descrizione di pattern: una regola descrive stringhe di testo (o espressioni regolari) da cercare in un messaggio e una condizione che stabilisce quando la regola «corrisponde». Clean Mailbox analizza ogni messaggio ricevuto dal tuo dominio in base alle tue regole, poi applica l'azione che hai scelto.

• Le regole sono specifiche per ciascun dominio;
• analizzano gli header e il contenuto del messaggio dopo la decodifica (oggetto codificato, testo base64 o quoted-printable, ecc.), così le tue parole chiave vengono trovate come le legge il destinatario;
• vengono eseguite dopo l'antivirus e l'antispam: un messaggio già eliminato da questi filtri non viene analizzato dalle tue regole;
• in caso di problema tecnico (regola troppo lenta, servizio non disponibile), il messaggio viene consegnato normalmente: una regola non trattiene mai un'email per errore.

Dove trovare il modulo

Nell'interfaccia di Clean Mailbox, apri il tuo dominio, poi il menu Regole YARA. Il modulo è riservato agli amministratori del dominio e deve essere attivato sul dominio: se la voce di menu non è visibile, contattaci per farlo attivare.

Da questa pagina puoi creare, modificare, riordinare ed eliminare le regole, nonché importare o esportare un file .yar. Ogni voce contiene una sola regola YARA, con:

• un titolo e una descrizione (per aiutarti a orientarti);
• uno stato: inattiva, audit o attiva;
• un'azione: taggare o bloccare (e il tag da aggiungere);
• il codice della regola YARA.

Al salvataggio la regola viene convalidata: se la sintassi non è valida, viene mostrato l'errore di YARA e non viene salvato nulla.

Stati delle regole

Lo stato determina se la regola viene valutata e se la sua azione viene realmente applicata.

Una regola inattiva è utile per mettere da parte una regola (ad esempio una campagna conclusa) senza perderla, o per preparare una regola importata prima di testarla. Le regole inattive non contano ai fini dei limiti su regole e pattern.

Azioni: taggare o bloccare

L'azione si applica solo se la regola è attiva (in audit viene soltanto registrata).

Taggare

Il messaggio viene consegnato, ma il testo del tag che hai definito viene aggiunto all'inizio dell'oggetto, ad esempio [FATTURA SOSPETTA] La tua fattura n. 4821. Il destinatario conserva l'ultima parola pur essendo avvisato; puoi inoltre basarti su questo tag per creare una regola di smistamento nella tua piattaforma di posta (spostare in una cartella, avvisare un team, ecc.).

• Il tag è obbligatorio per questa azione (massimo 100 caratteri, senza a capo);
• se più regole di tag corrispondono, tutti i tag vengono aggiunti (senza duplicati), nell'ordine delle regole;
• se il messaggio viene segnalato come spam anche da Clean Mailbox, il tag delle tue regole si aggiunge a quello dello spam.

Bloccare

Il messaggio non viene consegnato: viene eliminato prima di raggiungere la casella del destinatario, senza alcuna notifica al mittente. Una copia viene conservata nella tua quarantena, dove puoi esaminarla e ripristinarla in caso di falso positivo.

• un blocco interrompe immediatamente la valutazione: le regole successive non vengono valutate;
• un blocco ha la precedenza sui tag già trovati: il messaggio viene bloccato e i tag non vengono applicati;
• la quarantena è un prerequisito del blocco: se la copia non può essere conservata, il messaggio viene consegnato anziché perso.

Ordine di valutazione e «Se la regola corrisponde»

Le regole vengono valutate nell'ordine mostrato nella tabella (usa le frecce per spostarle verso l'alto o verso il basso). Una regola in audit non influisce mai su quelle successive: viene registrata e la valutazione prosegue.

Per una regola attiva con l'azione «Taggare», il campo Se la regola corrisponde definisce cosa succede dopo:

• Continua: le regole successive vengono valutate e i loro tag vengono aggiunti;
• Interrompi e applica l'azione di questa regola: la valutazione si ferma qui.

Una regola di blocco si ferma sempre: questa scelta esiste quindi solo per i tag. Metti per prime le tue regole di blocco più sicure.

Regola di esempio

Obiettivo: individuare le false richieste di modifica delle coordinate bancarie, un classico della truffa del CEO, e segnalarle al destinatario senza bloccare nulla all'inizio.

1. Il codice YARA

rule Bank_details_change_fraud
{
    meta:
        description = "Richiesta di modifica delle coordinate bancarie"
    strings:
        $bank1 = "modifica delle coordinate bancarie" nocase
        $bank2 = "nuovo conto bancario" nocase
        $bank3 = "nuovo IBAN" nocase
        $urgent1 = "urgente" nocase
        $urgent2 = "oggi" nocase
        $urgent3 = "riservato" nocase
    condition:
        any of ($bank*) and any of ($urgent*)
}

Questa regola corrisponde a un messaggio che contiene almeno un'espressione relativa alle coordinate bancarie e almeno un termine di urgenza. Richiedere entrambi limita i falsi positivi: un semplice «IBAN» in una fattura legittima non basta.

2. Le impostazioni nell'interfaccia

3. Messa in produzione

1. Salva la regola in audit e lasciala attiva per una o due settimane.
2. Esamina le sue corrispondenze (vedi sotto) e verifica che si tratti di veri tentativi di truffa e non di messaggi legittimi.
3. Se necessario, affina la condizione (rimuovi un termine troppo comune, richiedi più pattern).
4. Passa la regola ad attiva: i messaggi sospetti arrivano ora con il tag [VERIFICA COORDINATE BANCARIE] nell'oggetto.
5. Se sei sicuro che la regola sia affidabile, puoi passare l'azione a Bloccare.

Seguire le corrispondenze

La pagina Regole YARA mostra, per ogni regola, il numero di corrispondenze negli ultimi 30 giorni (audit incluso), compreso quante volte l'azione è stata realmente applicata, nonché le 20 corrispondenze più recenti.

La vista tempo reale permette inoltre di ritrovare ogni messaggio interessato. I messaggi bloccati dalle tue regole vi sono contrassegnati come tali; si trovano anche nella tua quarantena.

Limiti e buone pratiche

• Al massimo 10 regole attive o in audit per dominio e 200 pattern (le stringhe della sezione strings) in totale. Le regole inattive non contano;
• una voce contiene una sola regola YARA, al massimo 256 KB; la direttiva include non è disponibile;
• il titolo di ogni regola deve essere univoco all'interno di un dominio;
• le regole vengono convalidate con la versione di YARA indicata in cima alla pagina: testa le tue regole con quella versione se le scrivi altrove;
• una regola YARA può contenere tutti i pattern necessari: una regola ben costruita con più pattern vale più di diverse regole con un solo pattern;
• preferisci nocase per non dipendere dalle maiuscole, ed espressioni precise per limitare i falsi positivi;
• inizia sempre in audit.

Domande frequenti

Devo conoscere YARA per usare il modulo?

Regole semplici, come quella dell'esempio, si possono scrivere senza conoscenze approfondite: un elenco di stringhe e una condizione. Per i casi più avanzati, la documentazione ufficiale di YARA descrive il linguaggio nel dettaglio.

Cosa succede se la mia regola è troppo lenta o fallisce?

Il messaggio viene consegnato normalmente: l'analisi ha un tempo limitato e una regola che fallisce viene ignorata senza impedire alle altre di applicarsi.

Un'email bloccata va persa?

No. Viene conservata nella tua quarantena, dove puoi esaminarla e ripristinarla in caso di falso positivo.

Qual è la differenza tra «audit» e «inattiva»?

Una regola in audit viene valutata e le sue corrispondenze vengono registrate, senza alcun effetto sulle email. Una regola inattiva non viene valutata affatto.