Mining the YARA Ecosystem: From Ad-Hoc Sharing to Data-Driven Threat Intelligence
Deze studie onthult dat het open-source YARA-ecosysteem, ondanks zijn status als standaard voor detectie, functioneert als een verouderde en ongecurateerde 'statische supply chain' met hoge centralisatie, lage operationaliteit en een sterke bias naar verouderde bedreigingen, wat een fundamentele verschuiving vereist van ad-hoc verzameling naar rigoureuze regelengineering.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je voor dat de digitale wereld een enorme bibliotheek is vol met waarschuwingsborden. Deze borden vertellen beveiligingssystemen: "Pas op! Als je dit ziet, is het gevaarlijk!" In de wereld van cybersecurity heten deze borden YARA-regels. Ze zijn de standaard geworden om malware (virussen, hackers, etc.) te herkennen.
De auteurs van dit onderzoek hebben deze bibliotheek onder de loep genomen. Ze keken naar 8,4 miljoen regels uit 1.853 verschillende bronnen op GitHub. Wat ze ontdekten, is een verhaal dat lijkt op een verwaarloosde, rommelige markt waar iedereen zijn eigen waar verkoopt, zonder dat er echt iemand controleert of het goed is.
Hier is wat ze vonden, vertaald naar alledaagse taal:
1. De Bibliotheek is een "Statische Opslag" (Geen Levende Stroom)
Je zou denken dat deze bibliotheek een levende stroom van informatie is, net als een nieuwsfeed die elke seconde update. Maar nee, het is meer een dode archiefkast.
- Het probleem: De meeste regels zijn verouderd. De gemiddelde regel is 4,2 jaar oud voordat hij ergens anders wordt gebruikt.
- De analogie: Stel je voor dat je een brandblusser koopt om je huis te beschermen. Maar de instructiekaart erbij is uit 1990 en zegt: "Blus branden met water." Tegenwoordig gebruiken we schuim of poeder. Je hebt een tool, maar hij werkt niet meer voor de huidige branden. De auteurs noemen dit een "statische supply chain": het is een opslagplaats, geen levende stroom van nieuwe intelligence.
2. Een Handvol Mensen Doet Alles (De "Super-Verzamelaars")
Je zou denken dat duizenden mensen samenwerken aan deze regels. Maar de werkelijkheid is heel anders.
- Het probleem: Slechts 10 mensen (ongeveer 1,3% van de auteurs) zijn verantwoordelijk voor 80% van alle regels die daadwerkelijk worden gebruikt.
- De analogie: Het is alsof in een heel dorpje 99% van de burgers denkt dat ze zelf hun eigen waterpomp bouwen, maar in werkelijkheid komt al het water uit één enkele kraan die door één familie wordt bediend. Als die familie stopt met werken, droogt het hele dorp uit.
3. De "Dubbele Straal" (Slecht en Traag)
Dit is misschien wel het meest verrassende en gevaarlijke punt. De auteurs ontdekten dat veel regels niet alleen onnauwkeurig zijn, maar ook nog eens de computer vertragen.
- Het probleem: Veel regels zijn "vervuilde" regels. Ze roepen heel vaak onterecht alarm (veel vals alarm) én ze kosten veel rekenkracht om te draaien.
- De analogie: Stel je voor dat je een beveiligingscamera hebt die elke keer als een kat voorbijloopt een enorme sirene laat afgaan. En om die sirene te laten afgaan, moet de camera eerst een zware film bekijken.
- Resultaat: Je wordt doof van de sirenes (vals alarm) en je batterij gaat snel leeg (trage computer).
- De auteurs noemen dit de "Double Penalty": je betaalt twee keer: een keer voor de trage computer en een keer voor de stress van de vals alarmen.
4. De "Blind Vlek" (Waar kijken ze niet?)
De bibliotheek is heel goed in het herkennen van bekende, oude vijanden, maar blind voor de nieuwe, slimmere aanvallen.
- Het probleem: Er zijn duizenden regels voor Ransomware (gokken dat je bestanden gijzelen), omdat dat veel nieuws maakt. Maar er zijn bijna geen regels voor Loaders en Stealers (de dieven die eerst binnenkomen om je wachtwoorden te stelen, voordat ze ransomware sturen).
- De analogie: Stel je voor dat een stad 1000 politiemensen heeft die alleen op diefstallen van fietsen letten (omdat dat veel in het nieuws komt). Maar de echte dieven die de hoofdkantoren binnendringen en de sleutels stelen, worden totaal genegeerd.
- Sommige van deze "sluipdiefjes" (zoals QakBot) hebben 12 jaar lang ongestoord kunnen werken voordat er eindelijk een regel voor werd geschreven.
5. Waarom is dit zo? (De "Ad-hoc" Chaos)
De reden hiervoor is dat mensen deze regels vaak zomaar delen, zonder te controleren of ze goed zijn.
- Het probleem: Mensen kopiëren regels van elkaar (vaak 89% van de regels zijn dubbelop) en hopen dat het werkt. Ze bouwen geen kwaliteitscontrole in.
- De analogie: Het is alsof iedereen in het dorp een recept voor een taart kopieert van de buren, zonder te proeven of het wel lekker is. Uiteindelijk hebben ze allemaal dezelfde slechte taart, maar niemand durft te zeggen dat hij vies smaakt.
Wat moet er gebeuren?
De auteurs zeggen dat we een grote verschuiving moeten maken:
- Van "Zomaar verzamelen" naar "Kiezen en Controleren": We kunnen niet meer blindelings alles downloaden wat op GitHub staat. We moeten kiezen wie we vertrouwen.
- Van "Schrijven" naar "Onderhouden": Een regel schrijven is makkelijk, maar hem up-to-date houden is moeilijk. We hebben meer aandacht nodig voor het onderhoud van deze regels.
- Nieuwe Tools: We hebben tools nodig die niet alleen kijken of de regel "grammaticaal" correct is, maar die ook testen: "Werkt dit in de echte wereld? Is het te traag? Geeft het te veel vals alarm?"
Kortom: De YARA-wereld is een enorme, rommelige berg met veel waardevolle goudklompjes, maar die goudklompjes liggen begraven onder een zee van oud, nutteloos en zelfs schadelijk spul. Het is tijd om te stoppen met het zomaar oppikken van alles en te beginnen met slim, data-gedreven selecteren.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.