Правила вместо имён
Признаки описывают содержимое и структуру, а не полагаются только на имя файла.
ENGINEERING / DETECTION RULES
Правила обнаружения,
которые можно проверить.
YARA-X помогает находить характерные признаки угроз, а XENO дополняет совпадения анализом процессов, памяти и поведения.
LOCALпроверка на устройстве
RULESобновляемые признаки
CONTEXTоценка перед действием
Что такое YARA-X простыми словами
Правило описывает строки, байтовые последовательности, структуру и логические условия. Движок сопоставляет объект с этими признаками и создаёт результат для дальнейшей оценки.
Локальное сканирование
Проверка не требует отправлять содержимое объекта на внешний сервер.
Скомпилированный набор
Подготовленные правила быстро применяются к новым и изменённым файлам.
Контекст результата
Совпадение оценивается вместе с расположением, типом файла и процессом.
Карантин
Подтверждённо опасный объект можно изолировать от системы.
Проверяемая история
Пользователь видит объект, время и выполненное действие.
Почему одних сигнатур недостаточно
Вредоносные программы меняются, упаковываются и маскируются. Поэтому XENO дополняет правила проверкой PE-структуры, процессов, памяти, автозапуска и поведения файловой системы.
YARA-X — компонент анализа, а не обещание обнаружить любую угрозу. Надёжная защита требует обновлений системы, осторожной работы с файлами и резервных копий.
Частые вопросы
YARA-X — это антивирус?
Нет. Это движок сопоставления данных с правилами, который используется как один из компонентов защитного продукта.
Правила обновляются?
XENO предусматривает подписанный канал обновления наборов обнаружения.
Возможны ложные срабатывания?
Да, как у любого метода обнаружения. Контекстная оценка и журнал помогают проверять результат.