Documentation utilisateur Autopsy
4.20.0
Plateforme de criminalistique numérique graphique pour The Sleuth Kit et autres outils.
|
Le module "YARA Analyzer" utilise un ensemble de règles pour rechercher dans les fichiers des modèles textuels ou binaires. YARA a été conçu pour l'analyse des logiciels malveillants, mais peut être utilisé pour rechercher tout type de fichiers. Pour plus d'informations sur YARA, voir https://virustotal.github.io/yara/.
Pour créer et modifier vos ensembles de règles, allez dans "Tools", "Options" puis sélectionnez l'onglet "Yara Rule Sets".
Les ensembles de règles YARA sont stockés dans les répertoires du dossier Autopsy de l'utilisateur. Pour créer un nouvel ensemble de règles, cliquez sur le bouton "New Set" en bas à gauche et saisissez le nom de votre nouvel ensemble.
Une fois votre nouvel ensemble de règles sélectionné, cliquez sur le bouton "Open Folder" pour accéder au dossier de règles nouvellement créé. Vous pouvez désormais copier les fichiers YARA existants dans ce dossier pour les inclure dans l'ensemble de règles. Vous trouverez des informations sur la rédaction des règles YARA ici et de nombreuses règles YARA existantes peuvent être trouvées grâce à une recherche sur le Web. À titre d'exemple très simple, nous ajouterons cette règle à un ensemble de règles pour rechercher les fichiers contenant les mots "hello" et "world":
rule HelloWorldRule { strings: $part1 = "hello" nocase $part2 = "world" nocase condition: $part1 and $part2 }
Une fois que vous avez ajouté vos règles au dossier, cliquez sur le bouton "Refresh File List" pour les afficher dans le panneau d'options.
Pour activer le module d'acquisition YARA Analyzer, cochez la case dans l'écran de configuration des modules d'acquisition (Configure Ingest Modules).
Assurez-vous que tous les ensembles de règles que vous souhaitez exécuter sont cochés. Vous pouvez également choisir de les appliquer sur tous les fichiers ou uniquement sur des fichiers exécutables.
Les résultats sont affichés dans l'arborescence sous "Extracted Content".
Copyright © 2012-2021 Basis Technology. Généré le Mardi 1 Août 2023
Cette documentation est sous licence
Creative Commons Attribution-Share Alike 3.0 United States License.