[SIGMAルール] contains,startsWith,endsWith対応

[yamato-security]

[SIGMAルール] contains,startsWith,endsWith対応

[itiB]

まずは完全一致から

1. そもそもの yml ファイルの書き方
   • いままでの書き方のまま実装でカバーしたい
2. 実装の方法
   • rule.rs の LeafMatcher に FullMatch struct を追加
   • LeafMatch で Regexと判定されたもののうち通常文字列のみならFullMatch、特殊文字があったらRegexにする
     • 特殊文字案: \.+?*(){}[]^$

[itiB]

ymlでデータの型を指定する。
https://magazine.rubyist.net/articles/0009/0009-YAML.html#%E3%82%B9%E3%82%AB%E3%83%A9%E3%83%BC%E3%81%A8%E3%83%87%E3%83%BC%E3%82%BF%E5%9E%8B

[itiB]

SIGMA Ruleを読めるようにする計画が始まったので方針を変更する。
部分一致を検索する場合、|contains をパラメータ名の後につけるのがSIGMA.ymlの書き方

detection:
    selection_cammute:
        Image|endswith: '\CamMute.exe'
    filter_cammute:
        Image|contains:
          - '\Lenovo\Communication Utility\'
          - '\Lenovo\Communications Utility\'
    selection_chrome_frame:
        Image|endswith: '\chrome_frame_helper.exe'
    filter_chrome_frame:
        Image|contains: '\Google\Chrome\application\'