![]([] ![]([] ![Static Badge]([] ![Static Badge]([] ![GitHub Issues or Pull Requests by label]([]

TagCheck 服务

这是一个后处理服务，使用 YARA 签名将其他服务生成的所有 TAG 与签名集进行比较。

服务详情

签名来源

默认情况下，tagcheck 服务运行一小组位于 [***] 的签名。这些规则主要用于动态分析结果的分析。

签名格式

Tagcheck 还使用 CCCS 签名格式，但通过添加外部引用，允许签名编写者在其签名中引用 Assemblyline 标签。以下是一个示例：

rule UPX_Packer_PE_Section {

    meta:
        version = "1.0"
        description = "Identifies UPX packer by PE section names"
        source = "CCCS"
        author = "assemblyline_devs@CCCS"
        status = "RELEASED"
        sharing = "TLP:WHITE"
        category = "TECHNIQUE"
        technique = "packer:UPX"
        mitre_att = "T1045"

    condition:
        al_file_pe_sections_name matches /UPX[0-9]/
}

在此规则中，我们检查 file.pe.sections.name 标签是否包含 UPX0 至 UPX9 的值。在此服务中，任何先前生成的 Assemblyline 标签都可以使用以下格式进行检查：

al_(标签名称)，其中标签名称中的 '.' 替换为 '_'

# 例如，若要匹配 network.ip 标签，应使用 al_network_ip

限制

由于 YARA 中外部引用的实现方式，我们无法为标签类型字段提供值列表。因此，如果某个标签类型有多个值，它们将使用管道符连接。

例如，如果某个结果包含以下 network.static.ip 标签：127.0.0.1、127.0.0.11。这在 YARA 外部引用中会表示为："127.0.0.1 | 127.0.0.11"。这意味着您不能在签名中使用精确匹配，也不能使用 startswith 和 endswith 正则表达式（^$），因为您不知道已生成了多少不同类型的标签。

尽管如此，您可以使用单词边界分隔符来查找精确匹配。例如，如果您想在前述示例中匹配本地主机 IP，可以使用以下方式：

al_network_static_ip matches /\b127\.0\.0\.1\b/

镜像变体与标签

Assemblyline 服务基于 Assemblyline 服务基础镜像 构建，该基础镜像基于 Debian 11 并带有 Python 3.11。

Assemblyline 服务使用以下标签定义：

运行此服务

这是一个 Assemblyline 服务，设计用于在 Assemblyline 框架中运行。

如果您想在本地测试此服务，可以直接从 shell 运行 Docker 镜像：

docker run \
    --name Tagcheck \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-tagcheck

要将此服务添加到您的 Assemblyline 部署中，请遵循此 指南。

文档

Assemblyline 通用文档可在以下位置找到：[***]