Règles YARA publiques, YARA Forge et licences
L’écosystème des règles YARA publiques : paquets YARA Forge, grands dépôts comme Signature Base et Malpedia, outils, licences rencontrées et ce qu’elles permettent.
Publié le 4 min de lecture
Des milliers de règles YARA de qualité sont publiées gratuitement par des chercheurs, des éditeurs et des CERT. Savoir d’où elles viennent — et sous quelles conditions — permet de les utiliser sereinement et de créditer leurs auteurs.
YARA Forge
YARA Forge collecte les règles de dizaines de dépôts publics, puis :
- vérifie qu’elles compilent et leur applique des tests qualité (dont yaraQA) ;
- attribue à chaque règle une qualité et un score (0–100) ;
- normalise les métadonnées (
id,date,modified,source_url,license_url…) et préfixe chaque règle du nom de sa source pour éviter les collisions ; - publie chaque semaine trois paquets : core (haute qualité, faible risque de faux positifs), extended (plus de règles, certaines plus bruyantes) et full (tout ce qui compile).
Ce site reprend le paquet core. Chaque page de règle indique la release YARA Forge d’origine, l’auteur, un lien vers la règle amont et la licence.
Dépôts majeurs
| Dépôt | Domaine | Licence |
|---|---|---|
| Signature Base (Florian Roth / Nextron) | Large : outils d’APT, outils offensifs, web shells, exploits | DRL 1.1 |
| Malpedia signator rules | Une règle générée automatiquement par famille | CC BY-SA 4.0 |
| ditekSHen detection | Malwares courants et indicateurs | BSD 2-Clause |
| SEKOIA.IO Community | Malwares et outillage d’acteurs | DRL 1.1 |
| ESET malware-ioc | Familles issues des recherches ESET | BSD 2-Clause |
| Volexity threat-intel | Outillage vu dans les enquêtes Volexity | BSD 2-Clause |
| Google Cloud Threat Intelligence (GCTI) | Cobalt Strike et autres frameworks | Apache 2.0 |
| Mandiant red team tool countermeasures | Outils red team de Mandiant | BSD 2-Clause |
| Trellix ARC | Malwares et APT | Apache 2.0 |
| LOLDrivers | Pilotes vulnérables et malveillants | Apache 2.0 |
| CAPE Sandbox | Extraction de charges et de configurations | GPL-3.0 |
La liste complète, avec la décision prise pour chaque source, figure sur la page sources et licences.
Outils de l’écosystème
| Outil | Rôle |
|---|---|
| yarGen | Génère des brouillons de règles à partir d’échantillons en retirant les chaînes de goodware — relecture humaine indispensable |
| yaraQA | Détecte conditions impossibles, mauvais modificateurs et problèmes de performance |
| YARA-CI | Teste les dépôts de règles GitHub contre un corpus de goodware |
| awesome-yara | Index curé de jeux de règles, d’outils et d’articles |
Les licences que vous rencontrerez
- Detection Rule License 1.1 : conçue pour le contenu de détection. Utilisation, modification et redistribution permises, y compris commerciales, à condition de conserver l’auteur, un lien vers la règle et la mention de licence — et l’auteur dans les messages issus des correspondances.
- MIT, BSD 2/3-Clause, Apache 2.0 : licences logicielles permissives ; redistribution permise avec la mention de copyright et le texte de licence.
- GPL-3.0 : copyleft ; redistribution permise avec la licence, les œuvres dérivées restent sous GPL.
- CC BY / CC BY-SA 4.0 : attribution obligatoire ; ShareAlike impose la même licence aux adaptations.
- Licences non commerciales ou « source-available » (par exemple CC BY-NC ou Elastic License 2.0) : limitent la réutilisation commerciale ou la redistribution ; lisez-les avant d’intégrer des règles à un produit.
- Aucune licence : public sur GitHub ne veut pas dire libre de copie. Sans licence, le droit d’auteur réserve tous les droits à l’auteur.
Comment ce site gère les licences
- Texte complet affiché, téléchargeable et inclus dans les packs du scanner seulement si la licence permet la redistribution. Chaque page et chaque téléchargement portent l’auteur, le lien amont et la licence.
- Métadonnées seules pour les sources sans licence ou aux conditions restrictives : nom, description, auteur, dates, références et hashes d’échantillons, avec un lien vers l’original.
- Une licence indiquée dans le champ
licensed’une règle est respectée quand elle est claire, même dans un dépôt miroir sans licence. - Le scanner affiche l’auteur de chaque règle de la bibliothèque qui correspond, comme le demande la DRL 1.1.
Utiliser les règles publiques de façon responsable
- Vérifiez la licence avant de copier des règles dans votre produit ou votre dépôt.
- Conservez l’attribution : auteur, lien source et licence accompagnent la règle.
- Testez sur votre propre goodware avant la production (voir tests et CI) : les règles publiques sont écrites pour l’environnement de quelqu’un d’autre.
- Préférez des releases figées (comme un tag YARA Forge) au suivi d’une branche, pour pouvoir relire les changements.
- Remontez vos corrections de faux positifs aux auteurs.
Parcourez la bibliothèque par famille ou par source pour trouver les règles qui vous concernent.
FAQ
- Qu’est-ce que YARA Forge ?
- Un projet open source qui collecte les règles YARA de dizaines de dépôts publics, les teste et les note, puis publie chaque semaine les paquets core, extended et full.
- Puis-je copier n’importe quelle règle YARA trouvée sur GitHub ?
- Seulement si sa licence le permet. Un dépôt sans licence est, par défaut, « tous droits réservés », même s’il est public. DRL 1.1, MIT, BSD ou Apache-2.0 autorisent la réutilisation avec attribution.
- Pourquoi certaines règles de ce site n’affichent-elles que des métadonnées ?
- Parce que leur dépôt n’accorde aucune licence de redistribution. Nous montrons nom, description, auteur et références, avec un lien vers la règle d’origine.