YARA Directory

Performance & QA

Atoms, ordre des conditions, yaraQA.

YARA scanne en deux temps : chaînes (atoms + Aho-Corasick), puis condition.

Bonnes pratiques

  • Chaînes ≥ 4 octets, éviter les motifs trop génériques.
  • Mettre filesize et magic bytes avant les recherches coûteuses.
  • Regex ancrées ; éviter .* non borné.
  • Limiter les boucles sur tout le fichier.

yaraQA

yaraQA détecte conditions impossibles, mauvais modifiers et problèmes de performance. YARA Forge l’utilise pour le paquet core de cette librairie.

Guide détaillé : Performance Guidelines.