يتناول الفيديو شرح أداة YARA، وهي أداة متخصصة وقائمة على القواعد للبحث عن البرمجيات الخبيثة، يستخدمها بشكل أساسي صائدو التهديدات (Threat Hunters). تعتمد YARA على تعريفات وشروط محددة (تُعرف بالقواعد) للبحث عن هذه البرمجيات سواء ضمن الملفات أو في الذاكرة، وتشبه هذه القواعد البصمات التي تميز البرامج الضارة.
يبدأ الفيديو بتوضيح الفرق بين YARA وبرامج مكافحة الفيروسات (Antivirus). فبينما تبحث برامج مكافحة الفيروسات عن البرامج الضارة تلقائياً وتعتمد على بصمات جاهزة من الشركات، فإن YARA تمنح المستخدم القدرة على كتابة قواعده الخاصة، مما يجعلها أداة قوية لاكتشاف البرمجيات الخبيثة الجديدة أو المستهدفة التي قد لا تكون معروفة لبرامج مكافحة الفيروسات التقليدية.
يشرح المتحدث كيفية كتابة قاعدة YARA خطوة بخطوة:
- تعريف القاعدة (Rule Definition): تبدأ بكتابة كلمة
ruleتليها اسم القاعدة (مثلfind_bad_program). - قسم البيانات الوصفية (Meta Section): يحتوي على معلومات وصفية عن القاعدة مثل
description(الوصف)،author(المؤلف)، وdate(التاريخ). - قسم النصوص (Strings Section): يُعرف النصوص أو البصمات (سواء كانت ASCII أو Hexadecimal) التي سيتم البحث عنها داخل الملفات أو الذاكرة.
- قسم الشروط (Condition Section): يحدد الشروط المنطقية (باستخدام
and,or) التي يجب أن تتحقق من النصوص المعرفة في قسمstringsلاعتبار الملف خبيثًا. يمكن إضافة شروط متقدمة مثل البحث عن النصوص في موقع معين (at), ضمن نطاق بايتات محدد (in), أو بناءً على حجم الملف (filesize).
يقدم الفيديو مثالاً عمليًا لكتابة قاعدة YARA لاكتشاف برنامج ضار بسيط، ويوضح كيفية استخدام أدوات مساعدة مثل أمر strings في Linux لاستخلاص النصوص من البرنامج التنفيذي. كما يركز على أهمية صقل القواعد لتقليل “الإيجابيات الكاذبة” (False Positives) من خلال إضافة شروط مميزة مثل حجم الملف أو سلاسل نصية فريدة خاصة بالبرنامج الضار.
ويشير الفيديو إلى نسخة YARA-X المطورة، التي تقدم تحسينات في السرعة والأداء.
في الختام، يؤكد الفيديو على أن YARA ليست بديلاً لمكافحة الفيروسات، بل أداة تكميلية. فبينما توفر برامج مكافحة الفيروسات حماية مستمرة وتلقائية، تُستخدم YARA بشكل يدوي أو عبر سكربتات من قِبل خبراء الأمن السيبراني والجهات الأمنية لاكتشاف الهجمات المستهدفة الجديدة، وإنشاء قواعد مخصصة، ومشاركة مؤشرات الاختراق (Indicators of Compromise - IoCs) مع الجهات الأخرى للتحقق من تعرض أنظمتهم لنفس التهديد.
شرح اداة يارا للامن السيبراني والحديث عن فائدها وقواعدها وطريقة استخدامها
الفيديو المختصر هنا
