[SIGMAルール] contains,startsWith,endsWith対応

[hach1yon]

正規表現は処理に時間がかかるので、下記ルールを記述できるようにしたい。
・文字列の完全一致
・文字列の部分一致

正規表現が使えるので既存ルールでも同じことはできるが、正規表現は処理に時間がかかる。完全一致や部分一致ならもっと処理速度を速くできるので、新しくルールを書けるようにしたい。

[itiB]

まずは完全一致から

1. そもそもの yml ファイルの書き方
   • いままでの書き方のまま実装でカバーしたい
2. 実装の方法
   • rule.rs の LeafMatcher に FullMatch struct を追加
   • LeafMatch で Regexと判定されたもののうち通常文字列のみならFullMatch、特殊文字があったらRegexにする
     • 特殊文字案: \.+?*(){}[]^$

[itiB]

ymlでデータの型を指定する。
https://magazine.rubyist.net/articles/0009/0009-YAML.html#%E3%82%B9%E3%82%AB%E3%83%A9%E3%83%BC%E3%81%A8%E3%83%87%E3%83%BC%E3%82%BF%E5%9E%8B

[itiB]

SIGMA Ruleを読めるようにする計画が始まったので方針を変更する。
部分一致を検索する場合、|contains をパラメータ名の後につけるのがSIGMA.ymlの書き方

detection:
    selection_cammute:
        Image|endswith: '\CamMute.exe'
    filter_cammute:
        Image|contains:
          - '\Lenovo\Communication Utility\'
          - '\Lenovo\Communications Utility\'
    selection_chrome_frame:
        Image|endswith: '\chrome_frame_helper.exe'
    filter_chrome_frame:
        Image|contains: '\Google\Chrome\application\'