🔍 YARA 실무 스터디 가이드

1. YARA란?

YARA는 패턴 기반 멀웨어 탐지 및 분류를 위한 오픈소스 도구입니다. 보안 분석가가 룰(rule)을 작성하여 파일, 프로세스 메모리, 네트워크 스트림에서 악성 시그니처를 식별할 수 있게 해줍니다. AI 정보보안 엔지니어에게는 자동화된 탐지 파이프라인 구축의 핵심 요소로 사용됩니다.

2. 왜 써야 하는가?

기존 시그니처 기반 탐지 방식(ClamAV, Snort 등)과 비교한 YARA의 강점은 다음과 같습니다.

3. 핵심 개념

YARA 룰은 크게 세 부분으로 구성됩니다: 메타데이터(meta), 문자열 정의(strings), 조건(condition).

룰은 .yar 또는 .yara 확장자로 저장하며, 컴파일 후 대상 파일/메모리/프로세스에 적용합니다.

아키텍처 개요

4. 퀵스타트

4.1 설치

macOS / Linux / Windows 모두 지원됩니다. Python 환경에서는 yara-python을 권장합니다.

# macOS (Homebrew)
brew install yara

# Linux (apt/deb)
sudo apt-get install yara

# Python (pip)
pip install yara-python

4.2 첫 번째 룰 작성

hello_malware.yar 파일을 생성하고 아래 내용을 입력합니다.

rule HelloMalware
{
    meta:
        author = "AI-Security-Lab"
        description = "간단한 시그니처 예제"
        date = "2026-03"

    strings:
        $a = "X5O!P%@AP[4\\PZX54(P^)7CC)7}$EICAR"
        $b = "This is not a virus" ascii wide

    condition:
        $a or $b
}

4.3 스캔 실행 (CLI)

# 단일 파일 스캔
yara hello_malware.yar sample.exe

# 디렉터리 전체 스캔 (재귀)
yara -r hello_malware.yar /path/to/samples

# 외부 변수 전달 (예: 파일 크기 제한)
yara -d max_size=1048576 hello_malware.yar sample.bin

4.4 Python에서 사용

import yara

# 룰 컴파일
rules = yara.compile(source='''
rule HelloMalware
{
    strings:
        $a = "EICAR"
    condition:
        $a
}
''')

# 파일 스캔
matches = rules.match('sample.exe')
for m in matches:
    print(f'룰 매치: {m.rule}')
    for s in m.strings:
        print(f'  → 문자열 @ {s.instances[0].offset}: {s.identifier}')

5. 핵심 설정 레퍼런스

6. 실무 팁 & 트러블슈팅

자주 겪는 문제와 해결책

실무 팁

• 오토마타 최적화: 반복되는 문자열은 변수화하고, for..of를 활용하여 룰 길이를 줄이세요.
• CI/CD 통합: GitHub Actions에서 yara 실행하여 PR마다 샘플 검증을 자동화할 수 있습니다.
• 메모리 스캔: 프로세스 덤프(procdump) 후 YARA로 스캔하거나, yara -p <pid>로 실시간 스캔(Linux/macOS).
• 룰 테스트: yara -t (테스트 모드)로 룰만 검증하거나, --fail-on-warnings로 품질 관리.
• 성능 튜닝: 너무 많은 xor(0-255)는 느리므로, 우선순위 룰로 분리하세요.

7. 참고 자료

• YARA 공식 문서 (ReadTheDocs)
• GitHub 저장소 (VirusTotal/yara)
• YARAify – 실시간 룰 공유 플랫폼
• YARA-Hunt – 침해 사고 대응용 룰 세트
• Valhalla – YARA 룰 커뮤니티