지니안 EDR

YARA Rule은 단말 에이전트가 파일 검사에 사용할 YARA 룰을 관리하는 화면입니다. 등록한 룰은 콘솔에 저장되므로 콘솔의 YARA Rule 메뉴와 동일한 목록이 표시됩니다.

목록

검색창에 룰 이름을 입력하고 Enter를 누르면 이름으로 검색합니다. 한 페이지에 표시할 행 수는 30, 50, 100개 중에서 선택합니다.

등록

도구 모음의 + 버튼을 클릭하면 등록 창이 열립니다.

보고 전용과 스케줄의 선택 항목은 콘솔 설정을 따르며, 콘솔에 정의되어 있는 경우에만 표시됩니다.

rule suspicious_powershell_download
{
    strings:
        $a = "DownloadString" nocase
        $b = "IEX" nocase
    condition:
        $a and $b
}

저장을 클릭하면 콘솔 서버가 룰 문법을 먼저 검증합니다. 문법 오류가 있으면 오류 메시지가 표시되고 저장되지 않습니다.

수정과 복사

목록에서 룰 이름을 클릭하면 수정 창이 열립니다.

제공자가 CUSTOM이 아닌 기본 제공 룰은 활성화, 보고 전용, 스케줄만 변경할 수 있으며 이름, 룰 본문, 설명은 수정할 수 없습니다. 기본 제공 룰을 바탕으로 새 룰을 만들려면 복사를 클릭합니다. 이름 뒤에 (copy)가 붙은 등록 창으로 전환되며, 저장하면 제공자가 CUSTOM인 새 룰로 등록됩니다.

활성화와 비활성화

목록에서 룰을 선택하고 도구 모음의 활성/비활성 목록에서 활성화 또는 비활성화를 선택합니다. 선택한 룰이 모두 변경됩니다.

삭제

삭제할 룰을 선택하고 도구 모음의 - 버튼을 클릭합니다. 확인 창에서 승인하면 삭제됩니다.

룰 검증

도구 모음 오른쪽의 룰 검증을 클릭하면 YARA 룰 검증 창이 열립니다. 룰을 입력하고 검증 시작을 클릭하면 콘솔 서버가 문법을 검사하여 결과를 표시합니다. 룰을 저장하지 않고 문법만 확인할 때 사용합니다.