Sigma ve YARA kural iskeleti

Kuralın kısa ve anlaşılır adı.

Kuralı benzersiz biçimde tanımlayan UUID.

Kuralın olgunluk durumu: experimental, test veya stable.

Kuralın hangi ürün ve kategori günlüğüne uygulanacağını belirtir, örneğin product: windows, category: process_creation.

Arama koşulunu tanımlayan alan grubu, selection ve condition içerir.

Kuralın önem derecesi: low, medium, high, critical.

Bilinen yanlış pozitif senaryolarını belgeler.

Eşleşmesi aranan alan ve değer çiftlerini tanımlar.

Belirtilen alanda alt dize eşleşmesi arar.

selection ile eşleşen ama dışarıda tutulmak istenen durumları tanımlar.

Nihai eşleşme mantığını selection ve filter üzerinden kurar.

selection önekiyle başlayan bloklardan en az birinin eşleşmesini ister.

Kural bloğunu adlandırarak başlatır.

Yazar, açıklama ve tarih gibi bilgi amaçlı alanları tutar, eşleşmeyi etkilemez.

Aranacak metin, onaltılık veya düzenli ifade desenlerini tanımlar.

strings bloğundaki desenlerin nasıl birleştirileceğini belirler.

Kural bloğunu kapatır.

Düz metin deseni tanımlar.

Büyük ve küçük harf duyarsız metin deseni tanımlar.

Onaltılık bayt dizisi deseni tanımlar, burada MZ başlığını temsil eder.

Düzenli ifade deseni tanımlar.

Hem geniş (UTF-16) hem tek baytlık kodlamada arama yapar.

Tanımlı desenlerden en az birinin eşleşmesini ister.

Tanımlı desenlerin tümünün eşleşmesini ister.

Belirtilen desenlerden en az ikisinin eşleşmesini ister.

Yalnız belirtilen boyuttan küçük dosyaları değerlendirir.

Dosyanın ilk iki baytını kontrol ederek Windows PE başlığını doğrular.