malice/yara

malice-yara镜像说明

镜像概述

malice/yara是Malice安全分析平台的Yara插件镜像，基于轻量级alpine镜像构建，集成Yara工具用于***特征扫描。该镜像支持自定义规则集、多格式输出（JSON/Markdown），并可与Elasticsearch、webhook等服务联动，适用于安全分析场景。

核心功能

• 基于Yara规则检测***特征
• 支持挂载自定义规则目录（如Neo23x0的signature-base规则集）
• 输出JSON/Markdown表格格式结果
• 集成Elasticsearch存储结果或通过webhook回调
• 提供web服务模式构建扫描微服务

使用场景

• ***样本批量分析
• 安全运维中的文件威胁检测
• 集成到自动化安全分析流水线

配置说明

依赖镜像

• malice/alpine

镜像标签

安装步骤

1. 安装Docker环境
2. 拉取镜像：docker pull malice/yara

使用示例

基础扫描（使用neo23x0规则）

bash
docker run --rm -v /本地规则目录:/rules:ro -v /待扫描文件目录:/malware:ro malice/yara:neo23x0 /malware/目标文件

输出Markdown表格

bash
docker run --rm -v /本地规则目录:/rules:ro malice/yara:neo23x0 --table 目标文件

结果发送至Elasticsearch

bash
docker run --rm -v /本地规则目录:/rules:ro -e MALICE_ELASTICSEARCH_URL=http://es:9200 malice/yara:neo23x0 目标文件

命令选项

• --verbose：开启详细输出
• --elasticsearch：指定Elasticsearch地址
• --callback：启用webhook回调
• --table：输出Markdown表格
• --rules：自定义规则目录（默认：/rules）
• web：启动Yara扫描web服务

扩展文档

• https://github.com/malice-plugins/yara/blob/master/docs/elasticsearch.md
• https://github.com/malice-plugins/yara/blob/master/docs/web.md
• https://github.com/malice-plugins/yara/blob/master/docs/callback.md