YARA Rule Manager

YARA Rule Managerは、YARAルールを最新の状態に保つスタンドアロンのデーモンです。YARAはファイルの内容をルールと照合して悪意のあるファイルを特定しますが、そのルールは新しい脅威の出現に合わせて頻繁に変わります。このデーモンは、複数のgitリポジトリからルールをダウンロードし、検証、コンパイルして、DTSなど、YARAベースのマルウェアスキャンを使うソフトウェアが読み込める場所にコンパイル済みのルールセットを保存します。プログラム名はyara_rule_managerです。

常に最新のルール

マルウェアスキャナーの性能は、そのルール次第です。YARA Rule Managerには、gitリポジトリのデフォルトのリストが付属しており、管理者が更新の間隔を時間単位で決められます(最短1時間)。ルールを手作業でダウンロードしたり、確認したり、コンパイルしたりする必要はありません。

問題のないルールだけを使用

ルールは、何かをインストールする前に検証とコンパイルが行われます。検証とコンパイルが問題なく完了したルールだけが、コンパイル済みのルールセットにアトミックに書き込まれます。そのため、ルールを使うソフトウェアが書きかけのルールセットや壊れたルールセットを目にすることはありません。

ソフトウェアが新しいルールを取り込む仕組み

更新が成功するたびに、デーモンはコンパイル済みのルールと同じ場所にあるフラグファイルを更新し、新しいルールセットが利用できることを知らせます。ルールを使うソフトウェアはこのフラグを確認し、最後に読み込んだルールセットよりも新しい場合に、新しいルールを読み込みます。DTSはこの方法を使っており、YARAを使う他のFreeGatewayソフトウェアも同様に対応できます。