Dowiedz się, do czego służy moduł „Reguły Yara” w interfejsie Clean Mailbox, jak działają statusy reguł i akcje, oraz zacznij od konkretnego przykładu.
Funkcja w wersji beta: moduł reguł Yara jest obecnie w fazie beta. Jego działanie i interfejs mogą się zmieniać i możliwe są drobne niedociągnięcia. Prosimy o przesyłanie opinii.
Filtry Clean Mailbox (antywirus, antyspam) chronią przed znanymi zagrożeniami. Moduł reguł Yara uzupełnia je o Państwa własne reguły, obsługujące przypadki specyficzne dla organizacji: kampanię phishingową podszywającą się pod zarząd, fałszywe faktury powracające z tym samym sformułowaniem, słowo kluczowe, które nigdy nie powinno trafić do określonych skrzynek itd.
YARA to język opisu wzorców: reguła opisuje ciągi znaków (lub wyrażenia regularne) do wyszukania w wiadomości oraz warunek określający, kiedy reguła „pasuje”. Clean Mailbox analizuje każdą wiadomość odebraną przez domenę względem Państwa reguł, a następnie stosuje wybraną akcję.
W interfejsie Clean Mailbox należy otworzyć domenę, a następnie menu Reguły Yara. Moduł jest dostępny tylko dla administratorów domeny i musi być włączony dla domeny: jeśli pozycja menu nie jest widoczna, prosimy o kontakt, aby ją aktywować.
Na tej stronie można tworzyć, edytować, zmieniać kolejność i usuwać reguły oraz importować lub eksportować plik .yar. Każdy wpis zawiera jedną regułę YARA wraz z:
Przy zapisie reguła jest weryfikowana: jeśli jej składnia jest nieprawidłowa, wyświetlany jest błąd YARA i nic nie zostaje zapisane.
Status określa, czy reguła jest oceniana i czy jej akcja jest faktycznie wykonywana.
| Status | Czy reguła jest oceniana? | Wpływ na wiadomość |
|---|---|---|
| Nieaktywna | Nie | Brak. Reguła jest zachowana, ale ignorowana; nie wlicza się do limitów. |
| Audyt (tylko rejestrowanie) | Tak | Brak wpływu na wiadomość, która jest dostarczana normalnie. Każde dopasowanie jest rejestrowane wraz z informacją, co reguła by zrobiła („by oznaczyła” lub „by zablokowała”). |
| Aktywna | Tak | Akcja reguły jest wykonywana na wiadomości: do tematu dodawane jest oznaczenie albo wiadomość jest blokowana. |
Zalecane postępowanie: nową regułę zawsze należy tworzyć w trybie audytu. Należy pozostawić ją na kilka dni, przejrzeć dopasowania, sprawdzić, czy wychwytuje tylko to, o co chodzi, a następnie przełączyć na aktywną. Zbyt szeroka reguła może w przeciwnym razie blokować prawidłowe wiadomości.
Reguła nieaktywna przydaje się do odłożenia reguły na bok (na przykład po zakończonej kampanii) bez jej utraty lub do przygotowania zaimportowanej reguły przed testem. Reguły nieaktywne nie wliczają się do limitów reguł i wzorców.
Akcja jest wykonywana tylko wtedy, gdy reguła jest aktywna (w trybie audytu jest tylko rejestrowana).
Wiadomość jest dostarczana, ale na początku tematu dodawane jest zdefiniowane przez Państwa oznaczenie, na przykład [SUSPICIOUS INVOICE] Your invoice no. 4821. Odbiorca zostaje ostrzeżony, ale ostateczna decyzja należy do niego; oznaczenia można też użyć do utworzenia reguły sortowania w platformie pocztowej (przeniesienie do folderu, powiadomienie zespołu itd.).
Wiadomość nie jest dostarczana: zostaje usunięta, zanim trafi do skrzynki odbiorcy, bez powiadomienia nadawcy. Kopia jest przechowywana w Państwa kwarantannie, gdzie można ją przejrzeć i w razie fałszywego wykrycia przywrócić.
| Status | Akcja „Oznaczenie” | Akcja „Blokada” |
|---|---|---|
| Nieaktywna | Nic (reguła ignorowana) | Nic (reguła ignorowana) |
| Audyt | Wiadomość dostarczona bez zmian; „by oznaczyła” w śledzeniu | Wiadomość dostarczona bez zmian; „by zablokowała” w śledzeniu |
| Aktywna | Wiadomość dostarczona, oznaczenie dodane do tematu | Wiadomość usunięta, kopia zachowana w kwarantannie |
Reguły są oceniane w kolejności widocznej w tabeli (strzałkami można przesuwać je w górę lub w dół). Reguła w trybie audytu nigdy nie wpływa na to, co następuje dalej: jest rejestrowana, a ocena jest kontynuowana.
Dla reguły aktywnej z akcją „Oznaczenie” pole Jeśli reguła pasuje określa, co dzieje się dalej:
Reguła blokująca zawsze zatrzymuje ocenę: ten wybór dotyczy więc tylko oznaczeń. Najbezpieczniejsze reguły blokujące należy umieścić na początku.
Cel: wykrywanie fałszywych próśb o zmianę danych bankowych, klasyka oszustw na prezesa, i sygnalizowanie ich odbiorcy bez blokowania na początku.
rule Bank_details_change_fraud
{
meta:
description = "Prośba o zmianę danych bankowych"
strings:
$bank1 = "zmiana numeru konta" nocase
$bank2 = "nowy numer konta" nocase
$bank3 = "nowy IBAN" nocase
$urgent1 = "pilne" nocase
$urgent2 = "dzisiaj" nocase
$urgent3 = "poufne" nocase
condition:
any of ($bank*) and any of ($urgent*)
}Ta reguła pasuje do wiadomości zawierającej co najmniej jedno wyrażenie dotyczące danych bankowych oraz co najmniej jedno określenie pilności. Wymaganie obu ogranicza fałszywe wykrycia: samo „IBAN” w prawidłowej fakturze nie wystarcza.
| Pole | Wartość |
|---|---|
| Tytuł | Bank details change fraud |
| Status | Na początek Audyt |
| Akcja | Oznaczenie |
| Oznaczenie | [CHECK BANK DETAILS] |
| Jeśli reguła pasuje | Kontynuuj |
[CHECK BANK DETAILS] w temacie.Reguła pasuje tylko wtedy, gdy spełnione są wszystkie elementy jej condition. Reguły należy zawsze testować w trybie audytu przed aktywacją i preferować precyzyjne wzorce zamiast bardzo częstych słów.
Strona Reguły Yara pokazuje dla każdej reguły liczbę dopasowań z ostatnich 30 dni (łącznie z audytem), w tym liczbę faktycznych wykonań akcji, oraz 20 ostatnich dopasowań.
W widoku czasu rzeczywistego można także znaleźć każdą wiadomość, której dotyczy reguła. Wiadomości zablokowane przez Państwa reguły są tam odpowiednio oznaczone; znajdują się też w kwarantannie.
strings). Reguły nieaktywne nie są wliczane;include nie jest dostępna;nocase, aby nie zależeć od wielkości liter, oraz precyzyjne wyrażenia ograniczające fałszywe wykrycia;Proste reguły, takie jak w przykładzie, można napisać bez dogłębnej wiedzy: lista ciągów znaków i warunek. W bardziej zaawansowanych przypadkach język jest szczegółowo opisany w oficjalnej dokumentacji YARA.
Wiadomość jest dostarczana normalnie: analiza jest ograniczona czasowo, a zawodząca reguła jest ignorowana i nie przeszkadza w działaniu pozostałych.
Nie. Jest przechowywana w Państwa kwarantannie, gdzie można ją przejrzeć i w razie fałszywego wykrycia przywrócić.
Reguła w trybie audytu jest oceniana, a jej dopasowania są rejestrowane, bez wpływu na pocztę. Reguła nieaktywna nie jest oceniana w ogóle.
Nasz zespół wsparcia pomoże włączyć moduł w Państwa domenie i zweryfikować konfigurację. Pisanie i utrzymywanie samych reguł pozostaje po Państwa stronie.
Pytania o okres próbny, konfigurację, ceny lub współpracę? Jesteśmy do dyspozycji — i odpowiadamy szybko.