Scrie o regulă YARA care nu dă false pozitive

Pașii, în ordine

1. 1

   Pasul 1

   Începe cu strings, nu cu condiții complexe. Un needle rar și lung valorează mai mult decât trei condiții ingenioase.

2. 2

   Pasul 2

   Folosește wide pentru binar Windows și nocase doar unde producătorul chiar variază majusculele. nocase pe tot stringul lărgește mult potrivirile.

3. 3

   Pasul 3

   Adaugă filesize ca filtru de ieșire, nu ca filtru de intrare. Prefilter-ul decide deja ce fișiere ajung la regulă.

4. 4

   Pasul 4

   Testează regula pe un corpus care include fișiere legitime. O regulă care prinde eșantionul dar și trei instalere semnate e o regulă pierdută.

5. 5

   Pasul 5

   Setează meta.severity corect: critical sau high ridică scorul peste prag. O regulă „medium” nu poate produce singură un verdict malițios.

6. 6

   Pasul 6

   Ciornele generate de analistul AI nu se instalează automat, niciodată. Le citești, le testezi, apoi le pui pe disc.