搜索

[16198] 2020-12-12_Spyre：一款基于YARA规则的入侵威胁指标IoC扫描工具

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-12-12_Spyre：一款基于YARA规则的入侵威胁指标IoC扫描工具 S p y r e ： 一 款 基 于 Y A R A 规 则 的 入 侵 威 胁 指 标 I o C 扫 描 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 2 - 1 2 S p y r e S p y r e 是 一 款 功 能 强 大 的 基 于 主 机 的 I o C 扫 描 工 具 ， 该 工 具 基 于 Y A R A 模 式 匹 配 引 擎 和 其 他 扫 描 模 块 构 建 。 其 主 要 功 能 是 简 化 Y A R A 规 则 的 操 作 ， 并 帮 助 广 大 研 究 人 员 更 好 地 实 现 入 侵 威 胁 指 标 I o C 的 扫 描 。 在 使 用 S p y r e 时 ， 我 们 需 要 提 供 自 己 的 Y A R A 规 则 集 ， 关 于 Y A R A 规 则 ， 广 大 研 究 人 员 可 以 参 考 a w e s o m e - y a r a 库 所 提 供 的 免 费 Y A R A 规 则 集 。 广 大 研 究 人 员 可 以 将 S p y r e 当 作 一 款 事 件 响 应 与 调 查 工 具 来 使 用 ， 不 过 该 工 具 并 不 能 给 终 端 设 备 提 供 任 何 的 保 护 服 务 。 工 具 下 载 工 具 下 载 广 大 研 究 人 员 可 以 使 用 下 列 命 令 将 该 项 目 源 码 克 隆 至 本 地 ： 代 码 构 建 代 码 构 建 S p y r e 支 持 在 3 2 位 和 6 4 位 的 L i n u x 以 及 W i n d o w s 平 台 上 运 行 。 D e b i a n   B u s t e r （ （ 1 0 . x ） 及 更 新 版 本 ） 及 更 新 版 本 在 D e b i a n / B u s t e r 系 统 上 ， 首 先 需 要 安 装 和 配 置 好 下 列 工 具 组 件 包 ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / s p y r e - p r o j e c t / s p y r e . g i t m a k e g c c g c c - m u l t i l i b g c c - m i n g w - w 6 4
上 述 即 为 该 工 具 的 构 建 环 境 要 求 ， 之 后 可 以 使 用 命 令 行 接 口 进 行 源 码 构 建 。 F e d o r a   3 0 及 更 新 版 本 及 更 新 版 本 在 F e d o r a 系 统 上 进 行 源 码 构 建 ， 首 先 需 要 安 装 配 置 好 下 列 工 具 组 件 包 ： a u t o c o n f a u t o m a k e l i b t o o l p k g - c o n f i g w g e t p a t c h s e d g o l a n g - $ V E R S I O N - g o g i t - c o r e c a - c e r t i f i c a t e s z i p m a k e g c c m i n g w { 3 2 , 6 4 } - g c c m i n g w { 3 2 , 6 4 } - w i n p t h r e a d s - s t a t i c a u t o c o n f a u t o m a k e l i b t o o l p k g c o n f - p k g - c o n f i g w g e t p a t c h s e d g o l a n g
安 装 配 置 好 上 述 工 具 组 件 包 之 后 ， 我 们 就 可 以 使 用 m a k e 命 令 进 行 代 码 构 建 了 。 此 时 将 下 载 m u s l - l i b c 、 o p e n s s l 和 y a r a ， 构 建 好 之 后 就 可 以 构 建 S p y r e 了 。 构 建 好 的 S p y r e 代 码 将 创 建 在 “ _ b u i l d / / ” 。 运 行 下 列 命 令 之 后 ， 工 具 将 创 建 一 个 包 含 支 持 所 有 操 作 系 统 架 构 源 码 的 Z I P 文 件 ： 工 具 配 置 工 具 配 置 我 们 可 以 通 过 命 令 行 参 数 或 p a r a m s . t x t 文 件 来 传 递 S p y r e 工 具 的 运 行 时 参 数 ， 参 数 的 每 一 行 以 # 字 符 开 头 的 规 则 都 将 被 忽 略 。 通 常 情 况 下 （ 除 非 启 用 此 选 项 ） ， S p y r e 会 指 示 O S 调 度 器 降 低 C P U 时 间 和 I / O 操 作 的 优 先 级 ， 以 避 免 中 断 正 常 的 系 统 操 作 ： 在 报 告 中 显 式 地 在 该 文 件 中 设 置 主 机 名 ： 设 置 日 志 等 级 ， 可 用 选 项 有 t r a c e 、 d e b u g 、 i n f o 、 n o t i c e 、 w a r n 、 e r r o r 、 q u i e t ： 设 置 一 个 或 多 个 待 扫 描 的 文 件 系 统 路 径 ： 设 置 待 扫 描 文 件 的 Y A R A 规 则 文 件 列 表 ： 设 置 待 扫 描 进 程 内 存 空 间 的 Y A R A 规 则 文 件 列 表 ： 使 用 Y A R A 设 置 要 扫 描 的 文 件 的 最 大 大 小 ： 设 置 不 需 要 扫 描 的 进 程 名 称 ： 工 具 使 用 工 具 使 用 S p y r e 的 使 用 非 常 简 单 ， 首 先 添 加 Y A R A 签 名 ， 用 于 文 件 扫 描 的 Y A R A 规 则 需 要 从 f i l e s c a n . y a r 中 读 取 ， p r o c s c a n . y a r 则 g i t - c o r e c a - c e r t i f i c a t e s z i p m a k e   r e l e a s e - - h i g h - p r i o r i t y - - s e t - h o s t n a m e = N A M E - - r e p o r t = S P E C - - p a t h = P A T H L I S T - - y a r a - p r o c - r u l e s = F I L E L I S T - - y a r a - p r o c - r u l e s = F I L E L I S T - - i o c - f i l e = F I L E - - p r o c - i g n o r e = N A M E L I S T
对 应 的 是 进 程 内 存 扫 描 规 则 。 下 列 选 项 支 持 向 S p y r e 提 供 规 则 文 件 ： 1 、 将 规 则 文 件 添 加 至 Z I P 文 件 ， 并 将 文 件 添 加 至 代 码 中 。 2 、 将 规 则 文 件 添 加 至 $ P R O G R A M . z i p 这 个 Z I P 文 件 中 ， 如 果 是 通 过 s p y r e 或 s p y r e . e x e 调 用 的 S p y r e 代 码 ， 则 使 用 的 是 s p y r e . z i p 。 3 、 将 规 则 文 件 放 至 源 码 所 在 的 相 同 目 录 。 Z I P 文 件 内 容 将 使 用 密 码 “ i n f e c t e d ” 进 行 加 密 ， 以 防 止 反 病 毒 产 品 破 坏 规 则 集 并 影 响 扫 描 结 果 。 Y A R A 规 则 文 件 中 将 包 含 i n c l u d e 语 句 。 部 署 完 成 之 后 ， 即 可 运 行 扫 描 器 。 扫 描 完 成 后 ， 工 具 将 生 成 收 集 到 的 报 告 结 果 。 关 于 关 于 Y A R A 规 则 规 则 Y A R A 使 用 了 默 认 设 置 进 行 配 置 ， 并 且 支 持 通 过 下 列 选 项 进 行 切 换 ： 许 可 证 协 议 许 可 证 协 议 本 项 目 的 开 发 与 发 布 遵 循 G N U 开 源 许 可 证 协 议 。 项 目 地 址 项 目 地 址 S p y r e ： 【 G i t H u b 传 送 门 】 精 彩 推 荐 精 彩 推 荐 - - d i s a b l e - m a g i c - - d i s a b l e - c u c k o o - - e n a b l e - d o t n e t - - e n a b l e - m a c h o - - e n a b l e - d e x

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理