YARA-regels: filter uw e-mail met uw eigen regels

Waarvoor het dient

De filters van Clean Mailbox (antivirus, antispam) beschermen tegen bekende bedreigingen. De module Yara-regels vult ze aan met uw eigen regels, voor gevallen die specifiek zijn voor uw organisatie: een phishingcampagne die uw directie nabootst, frauduleuze facturen die steeds met dezelfde bewoording terugkomen, een trefwoord dat u nooit in bepaalde mailboxen wilt zien aankomen, enzovoort.

YARA is een taal om patronen te beschrijven: een regel beschrijft tekenreeksen (of reguliere expressies) waarnaar in een bericht wordt gezocht, en een voorwaarde die aangeeft wanneer de regel "overeenkomt". Clean Mailbox analyseert elk bericht dat uw domein ontvangt aan de hand van uw regels en past vervolgens de gekozen actie toe.

• Regels gelden voor elk domein afzonderlijk;
• ze analyseren de headers en de inhoud van het bericht, na decodering (gecodeerd onderwerp, base64- of quoted-printable-tekst enz.), zodat uw trefwoorden worden gevonden zoals uw ontvanger ze leest;
• ze worden uitgevoerd na de antivirus en antispam: een bericht dat door die filters al is verwijderd, wordt niet door uw regels geanalyseerd;
• bij een technisch probleem (regel te traag, dienst niet beschikbaar) wordt het bericht normaal afgeleverd: een regel houdt nooit per ongeluk een e-mail tegen.

Waar u de module vindt

Open in de Clean Mailbox-interface uw domein en vervolgens het menu Yara-regels. De module is voorbehouden aan domeinbeheerders en moet op het domein zijn ingeschakeld: ziet u het menu-item niet, neem dan contact met ons op om het te laten activeren.

Op deze pagina kunt u regels aanmaken, bewerken, herordenen en verwijderen en een .yar-bestand importeren of exporteren. Elk item bevat één enkele YARA-regel, met:

• een titel en een beschrijving (om het overzicht te bewaren);
• een status: inactief, audit of actief;
• een actie: taggen of blokkeren (en de toe te voegen tag);
• de YARA-regelcode.

Bij het opslaan wordt de regel gevalideerd: is de syntaxis ongeldig, dan wordt de YARA-fout getoond en wordt er niets opgeslagen.

Regelstatussen

De status bepaalt of de regel wordt geëvalueerd en of de actie ook daadwerkelijk wordt toegepast.

Een inactieve regel is handig om een regel opzij te leggen (bijvoorbeeld een afgelopen campagne) zonder hem te verliezen, of om een geïmporteerde regel voor te bereiden voordat u hem test. Inactieve regels tellen niet mee voor de limieten voor regels en patronen.

Acties: taggen of blokkeren

De actie wordt alleen toegepast als de regel actief is (in audit wordt hij alleen geregistreerd).

Taggen

Het bericht wordt afgeleverd, maar de door u gedefinieerde tag wordt aan het begin van het onderwerp toegevoegd, bijvoorbeeld [SUSPICIOUS INVOICE] Your invoice no. 4821. De ontvanger wordt gewaarschuwd maar houdt het laatste woord; u kunt deze tag ook gebruiken om in uw mailplatform een sorteerregel te maken (naar een map verplaatsen, een team waarschuwen enz.).

• de tag is verplicht voor deze actie (maximaal 100 tekens, zonder regeleinde);
• als meerdere tagregels overeenkomen, worden alle tags toegevoegd (zonder dubbelingen), in de volgorde van de regels;
• als het bericht door Clean Mailbox ook als spam is gemarkeerd, wordt de tag van uw regels toegevoegd aan die van de spam.

Blokkeren

Het bericht wordt niet afgeleverd: het wordt verwijderd voordat het de mailbox van de ontvanger bereikt, zonder melding aan de afzender. Een kopie blijft bewaard in uw quarantaine, waar u het kunt bekijken en bij een fout-positief kunt herstellen.

• een blokkade stopt de evaluatie onmiddellijk: de volgende regels worden niet geëvalueerd;
• een blokkade gaat voor op reeds gevonden tags: het bericht wordt geblokkeerd en tags worden niet toegepast;
• quarantaine is een voorwaarde voor blokkeren: kan de kopie niet worden bewaard, dan wordt het bericht afgeleverd in plaats van verloren te gaan.

Volgorde van evaluatie en "Als de regel overeenkomt"

Regels worden geëvalueerd in de volgorde waarin ze in de tabel staan (gebruik de pijlen om ze omhoog of omlaag te verplaatsen). Een regel in audit heeft nooit invloed op wat volgt: hij wordt geregistreerd en de evaluatie gaat verder.

Voor een actieve regel met de actie "Taggen" bepaalt het veld Als de regel overeenkomt wat er daarna gebeurt:

• Doorgaan: de volgende regels worden geëvalueerd en hun tags worden toegevoegd;
• Stoppen en de actie van deze regel toepassen: de evaluatie stopt hier.

Een blokkerende regel stopt altijd: deze keuze bestaat dus alleen voor tags. Zet uw veiligste blokkerende regels vooraan.

Voorbeeldregel

Doel: valse verzoeken om bankgegevens te wijzigen opsporen, een klassieker van CEO-fraude, en ze bij de ontvanger signaleren zonder in eerste instantie iets te blokkeren.

1. De YARA-code

rule Bank_details_change_fraud
{
    meta:
        description = "Verzoek om wijziging van bankgegevens"

    strings:
        $bank1 = "wijziging van bankgegevens" nocase
        $bank2 = "nieuw bankrekeningnummer" nocase
        $bank3 = "nieuw IBAN" nocase
        $urgent1 = "dringend" nocase
        $urgent2 = "vandaag" nocase
        $urgent3 = "vertrouwelijk" nocase

    condition:
        any of ($bank*) and any of ($urgent*)
}

Deze regel komt overeen met een bericht dat minstens één uitdrukking over bankgegevens én minstens één term voor urgentie bevat. Door beide te eisen worden fout-positieven beperkt: een gewoon "IBAN" in een legitieme factuur is niet genoeg.

2. De instellingen in de interface

3. Live zetten

1. Sla de regel op in audit en laat hem een of twee weken draaien.
2. Bekijk de treffers (zie hieronder) en controleer of het echte fraudepogingen zijn en geen legitieme berichten.
3. Verfijn de voorwaarde zo nodig (verwijder een te gangbare term, eis meer patronen).
4. Zet de regel op actief: verdachte berichten komen nu aan met de tag [CHECK BANK DETAILS] in hun onderwerp.
5. Bent u ervan overtuigd dat de regel betrouwbaar is, dan kunt u de actie op Blokkeren zetten.

De treffers volgen

De pagina Yara-regels toont voor elke regel het aantal treffers over de laatste 30 dagen (audit inbegrepen), inclusief hoe vaak de actie daadwerkelijk is toegepast, evenals de 20 meest recente treffers.

In de realtime-weergave kunt u ook elk betrokken bericht terugvinden. Door uw regels geblokkeerde berichten worden daar als zodanig gemarkeerd; ze staan ook in uw quarantaine.

Beperkingen en aanbevolen werkwijze

• maximaal 10 regels actief of in audit per domein en in totaal 200 patronen (de tekenreeksen van de sectie strings). Inactieve regels tellen niet mee;
• een item bevat één enkele YARA-regel, maximaal 256 KB; de instructie include is niet beschikbaar;
• de titel van elke regel moet uniek zijn binnen een domein;
• regels worden gevalideerd met de YARA-versie die bovenaan de pagina staat: test uw regels met die versie als u ze elders schrijft;
• een YARA-regel kan zoveel patronen bevatten als nodig is: één goed opgebouwde regel met meerdere patronen is beter dan meerdere regels met één patroon;
• gebruik bij voorkeur nocase zodat u niet afhankelijk bent van hoofdletters, en precieze uitdrukkingen om fout-positieven te beperken;
• begin altijd in audit.

Veelgestelde vragen

Moet ik YARA kennen om de module te gebruiken?

Eenvoudige regels, zoals die in het voorbeeld, kunt u schrijven zonder diepgaande kennis: een lijst met tekenreeksen en een voorwaarde. Voor geavanceerdere gevallen beschrijft de officiële YARA-documentatie de taal in detail.

Wat gebeurt er als mijn regel te traag is of faalt?

Het bericht wordt normaal afgeleverd: de analyse is tijdgebonden en een falende regel wordt genegeerd zonder dat de andere worden verhinderd te werken.

Gaat een geblokkeerde e-mail verloren?

Nee. Hij wordt bewaard in uw quarantaine, waar u hem kunt bekijken en bij een fout-positief kunt herstellen.

Wat is het verschil tussen "audit" en "inactief"?

Een regel in audit wordt geëvalueerd en zijn treffers worden geregistreerd, zonder gevolgen voor e-mail. Een inactieve regel wordt helemaal niet geëvalueerd.