Как писать правила, которые быстро отсканируют миллионы файлов ⚡️

Хорошее правило не просто находит угрозу, а делает это быстро и точно. Секрет в том, как YARA ищет совпадения: сначала находит короткие фрагменты строк (атомы), затем проверяет условия.

В статье на Хабре показываем, как использовать эту механику, чтобы выжать из сканирования максимум.

Вы узнаете:
🧬 как подбирать строки с надежными атомами;
🧬 как избежать ошибки too many matches;
🧬 как выстроить условия, чтобы быстрые проверки шли первыми, а тяжелые запускались только при необходимости;
🧬 какие приемы работают на YARA 3.7 и выше, с примерами удачных и неудачных правил.

✅ Подробности