YARA и Sigma: правила для поиска угроз

Обнаружение угроз начинается не с кнопки «найти вредоносное ПО», а с понимания того, что именно нужно искать.

В этом модуле ты познакомишься с двумя важными инструментами аналитика - YARA и Sigma. Научишься описывать признаки угроз в виде собственных правил и использовать их для поиска подозрительных файлов, кода и событий в системе.

Сначала разберём YARA. Ты узнаешь, из чего состоят YARA-правила, как работают строки, условия и другие элементы синтаксиса, а затем самостоятельно напишешь свои правила обнаружения. После этого применишь их на практике и попробуешь искать угрозы в Windows и Linux, а также разберёшься, как YARA может использоваться при анализе веб-среды.

Затем перейдём к Sigma. Разберём принцип универсальных правил обнаружения для журналов событий, научимся описывать подозрительное поведение и создавать собственные Sigma-правила.

А чтобы всё это не осталось теорией, ты проведёшь охоту по логам с помощью Sigma и Chainsaw: будешь искать события, сопоставлять признаки активности и определять, что происходило в системе.

В модуле тебя ждут 5 практических уроков и финальный экзамен. Здесь недостаточно просто запомнить синтаксис - тебе придётся самостоятельно писать правила, запускать их и разбираться с результатами обнаружения.

После прохождения модуля YARA и Sigma перестанут быть набором непонятных конструкций из чужих репозиториев. Ты будешь понимать, как устроены правила обнаружения, почему они срабатывают и как написать собственное правило под конкретную угрозу.

Модуль будет полезен SOC-аналитикам, специалистам по Threat Hunting и Incident Response, пентестерам, багбаунти-хантерам, разработчикам и специалистам по информационной безопасности, которые хотят лучше понимать, как строится обнаружение подозрительной активности.