YARAルールは、特定の文字列、条件、バイナリパターンに基づいてマルウェアを識別するために使用されるパターンマッチングルールです。アナリストが文字列マッチングを介して既知の指標や固有のシグネチャを検索するメモリスキャンやファイルスキャンで最も効果的です。
正解: C. 文字列マッチング。

Webアプリケーションファイアウォール（WAF）が特定のパターン（${など）をブロックするように設定されている場合、攻撃者はURLエンコーディング（例：%24%7B）を使用してこれを回避できます。このような場合、WAFはマッチングルールを適用する前にこれらのパターンをデコードする必要があります。URLデコードを有効にすると、WAFはエンコードされたペイロードを認識し、適切な保護を適用できるようになります。これは、コマンドインジェクションやリモートコード実行といったバイパス手法に対する推奨される強化戦略です。
参考: Cisco Cyber​​Ops v1.2 ガイド、WAF および入力検証手法に関する章。
-

説明/参考資料: https://attack.mitre.org/techniques/T1055/

説明/参照: https://en.wikipedia.org/wiki/YARA#:~:text=YARA%20is%20the%20name%20of,strings%20and
%20a%20ブール値%20式。

提供されたWiresharkのキャプチャでは、短時間内に複数のTCP SYNパケットが異なる送信元IPアドレスから同じ宛先IPアドレス（192.168.1.159:80）に送信されているのが確認できます。これらのSYNパケットには対応するSYN-ACKまたはACK応答がないため、これらのTCP接続要求が完了していないことがわかります。
このパターンは、サービス拒否（DoS）攻撃の一種であるSYNフラッド攻撃を示唆しています。この攻撃では、悪意のある攻撃者が標的システムに大量のTCP SYNリクエストを大量に送信し、標的のTCP接続キュー（バックログ）を半オープン接続で満杯にします。これによりシステムリソースが枯渇し、正当な接続リクエストが拒否または遅延される可能性があります。
このシナリオに対する対策は、Cyber​​Ops Technologies (CBRFIR) 300-215 学習ガイドの「ネットワークベースの攻撃と TCP SYN フラッド攻撃」で強調されているように、次のものが含まれます。
* バックログ キューの増加: これにより、サーバーはより多くの半オープン接続を保持できるようになります。
* 最も古い半開きの接続をリサイクルする: これにより、バックログがいっぱいになった場合に正当な接続を確立する機会が確保されます。
参考資料:Cyber​​Ops Technologies (CBRFIR) 300-215 学習ガイド、第 5 章: 攻撃方法の特定、SYN フラッド攻撃セクション、146 ～ 148 ページ。