イメージしやすいたとえは「指紋照合」です。犯罪捜査で指紋データベースと照合して人物を特定するように、YARAは「このマルウェア家系には、こんな特徴がある」というルールを作り、調べたいファイルと突き合わせます。たとえば、ある攻撃グループのツールだけが内部に持つ独特の文字列、特定のパッカーが残すバイト列の癖、設定ファイルの目印——そうした“手癖”をルールに書いておけば、ファイル名や見た目を変えられても、中身の指紋から正体を言い当てられるのです。

これはMITRE ATT&CKの総論で触れた「IOCより振る舞い・特徴で戦うと、攻撃者は痛い」という考え方とも響き合います。ハッシュ値は1バイト変えるだけで別物になりますが、マルウェアの“中身の作り”はそう簡単には変えられない。YARAは、その変えにくい部分を狙ってルール化することで、亜種や少し化粧直しした検体まで、まとめてつかまえにいきます。

YARAが守りの現場で重宝されるのは、使える“場所”が広いからです。1つの怪しいファイルの素性調べ（トリアージ）はもちろん、感染が疑われる端末のメモリを走査して潜伏中のコードをあぶり出したり、何百台もの端末を横断スキャンして「同じ検体がほかにいないか」を一気に確認したり。メールやファイルの受け渡し口（ゲートウェイ）に組み込んで、入ってくる前にはじくこともできます。1つのルールが、いろいろな場面で使い回せる——ここがYARAの大きな魅力です。

YARAルールは、見た目こそプログラムに似ていますが、中身はたった3つの部屋（セクション）でできています。「何という名前のルールか（rule）」を宣言し、「探したいパターン（strings）」を並べ、「どう組み合わさったら“当たり”とするか（condition）」を決める。これだけです。加えて、ルールの素性を書くメモ欄（meta）を添えます。まずは代表的な要素を押さえましょう。

必須なのは rule と condition の2つだけ。strings は“探すパターン”がある場合に書きます（ファイルサイズやファイル形式だけで判定するなら、stringsなしのルールもあり得ます）。実際の1本を見てみましょう。下は「情報窃取型マルウェアによく見られる特徴の組み合わせ」を検知する、教育用の例です。

▲ 読み方：metaに素性（作者・日付・参照・ハッシュ・ATT&CK手口）を記録し、stringsで特徴パターンを定義、conditionで「PEヘッダ＋2つ以上の特徴＋復号API」という“当たりの条件”を組み立てています。※文字列は説明用の例で、そのまま実在検体を表すものではありません。

注目してほしいのは、condition がこのルールの“頭脳”だということ。strings をいくら並べても、それだけでは検知になりません。「PEファイルであること（uint16(0) == 0x5A4D＝先頭が“MZ”）」という土俵を確認したうえで、「特徴文字列が2つ以上」「かつ復号APIを含む」と条件を重ねることで、ただ単語が1個出ただけの無関係なファイル（＝誤検知）を上手に振るい落としています。この“組み立て”の妙が、③④章の主役です。

strings: に書けるパターンは、大きく3つの型に分かれます。検体のどこに注目するかで、使い分けます。

さらに、文字列の後ろに「修飾子（モディファイア）」を付けると、一致のしかたを細かく制御できます。これがYARAの表現力の源です。とくに wide と nocase は実戦で多用します。

16進文字列の真価は「ワイルドカード」と「ジャンプ」にあります。攻撃者がコンパイルし直すたびに、機械語のごく一部（レジスタやアドレス）は変わります。そこを ??（任意の1バイト）や [4-6]（4〜6バイトを読み飛ばす）で“穴”にしておくと、細部は違っても骨格が同じ亜種を、まとめて捕まえられます。下を見てください。

▲ ??＝任意の1バイト、5?＝上位だけ固定、[4-6]＝可変長ジャンプ、(… | …)＝候補。正規表現の考え方が効いてくる場面で、正規表現でログ解析の基礎が土台になります。

どの型を選ぶにせよ、ルールの“強さ”を決めるのは「どの文字列・バイト列を狙うか」という目利きです。ありふれたライブラリの定型文を選ぶと誤検知だらけになり、逆に検体1個だけの偶然のゴミを選ぶと、亜種が出た瞬間に役立たずになります。“その家系だけが持つ、変えにくい特徴”を見抜く——この勘所は⑥章でじっくり扱います。まずは「3つの型と、wide／nocase／fullwordという必須の修飾子がある」ことを押さえれば十分です。

condition: は、strings で定義したパターンを論理式（真偽の組み立て）でまとめ、「最終的に“当たり”とみなす条件」を決める部分です。必須であり、ルールの賢さがここに集約されます。基本の語彙はとてもシンプルです。

誤検知を減らす“王道”は、「土俵を固めてから、しきい値で判断する」こと。まず uint16(0) や filesize で「そもそも対象の種類か」を絞り（PEでない画像ファイルを延々調べない）、そのうえで N of ($s*) で「特徴がいくつ重なったか」を見ます。1個の文字列一致では弱くても、3個重なれば偶然はまず起きません。pe モジュールを使えば、さらに踏み込んだ判定もできます。

▲ “文字列＋ファイル形式＋構造＋インポートAPI”を重ねるほど、誤検知に強く“本物”を射抜く検知になります。peのほか、エントロピーを測るmathモジュールも難読化・暗号化の検出に便利です。

もう一つ覚えておきたいのが「除外」の発想です。正規のソフトに偶然マッチしてしまうなら、その正規ソフトだけが持つ署名や文字列を not で引き算します（例：… and not pe.signatures[0].issuer contains "Microsoft"）。Sigmaの filter と同じ“正常を引く”考え方で、これがアラートの質を大きく左右します。

YARAの基本はコマンド1つ。ルールファイル（.yar）と、調べたいファイルやフォルダを渡すだけです。-r を付ければ、フォルダを再帰的に掘って一気にスキャンします。

▲ 出力は「ルール名 ファイルパス」の形。どのルールに当たったかが一目で分かります。-s を付けると“どの文字列がどこで一致したか”まで見え、ルールのデバッグに重宝します。

プログラムに組み込むなら yara-python。ルールをコンパイルして、何度でも高速にマッチできます。自動トリアージや、独自ツールへの組み込みの土台になります。

そして、YARAが防御の現場で輝くのは“規模”と“場所”を広げたときです。同じルールが、いろいろな器の上で動きます。

とくにメモリスキャンは、YARAならではの強みです。最近のマルウェアは、ディスク上では暗号化・難読化して姿を隠し、実行されたときだけメモリ上で本来のコードに“戻り”ます。だから動いている最中のメモリにルールを当てると、ディスクスキャンでは見えなかった文字列やコードが浮かび上がる。Volatilityのようなメモリ解析基盤と組み合わせると、ファイルレス攻撃の調査でも力を発揮します。

YARAは書くこと自体は簡単ですが、“効くルール”を書くのは奥が深い世界です。陥りがちな失敗は両極端にあります。一方は「過剰適合（オーバーフィット）」——目の前の1検体に合わせすぎて、ほんの少し変わった亜種で空振りする。もう一方は「広すぎ」——ありふれた文字列を狙って、正規ソフトにまで誤爆する。良いルールは、そのちょうど中間、「その家系“だけ”が持つ、“変えにくい”特徴」を射抜きます。

性能（パフォーマンス）も忘れてはいけない観点です。YARAは内部で「アトム」と呼ばれる短いバイト列を手がかりに高速化しています。そのため、極端に短い文字列（1〜2バイト）や、先頭が曖昧な正規表現は、エンジンが“あたり”を付けられず、スキャンが遅くなりがちです。「?? ばかりの16進」「/.*foo/ のような重い正規表現」は避け、4バイト以上の“固い”手がかりを1つは含める——これが速いルールのコツです。何百台・何TBを相手にするとき、この差は効いてきます。

最後に、新しい潮流にも触れておきます。YARAには近年、Rustで書き直された後継「YARA-X」が登場しました。より高速・安全で、既存のルール資産もおおむねそのまま使えます。これから本格的に学ぶなら、従来のYARAで考え方を身につけつつ、YARA-Xの動向も追っておくとよいでしょう。基本の文法（meta／strings／condition）は変わらないので、ここで学んだことはそのまま生きます。

ここまでに登場した言葉の“答え合わせ”として、用語集とFAQをまとめました。YARAは奥が深い分野ですが、入口はこの記事の範囲で十分です。あとは安全な環境で手を動かしながら、少しずつ守備範囲を広げていきましょう。最初の1本を書き上げたとき、“怪しいファイルの山”が、急に怖くなくなります。

📖 用語集

❓ よくある質問（FAQ）

🧭 次に読む