如何使用KLara：威胁情报研究者的Yara规则分布式扫描完整指南

【免费下载链接】klaraKaspersky's GReAT KLara项目地址: https://gitcode.com/gh_mirrors/kl/klara

KLara是Kaspersky GReAT团队开发的分布式Yara规则扫描系统，专为威胁情报研究者设计，可高效扫描海量恶意软件样本。本文将详细介绍如何利用KLara进行Yara规则分布式扫描，帮助研究者快速发现潜在威胁。

什么是KLara？

KLara是一个基于Python的分布式系统，采用调度器-工作节点（dispatcher-worker）架构，能够将Yara规则扫描任务分发到多个工作节点并行处理。这一设计使研究者能够在短时间内完成对超大规模样本集（>1TB）的扫描，显著提升威胁狩猎效率。

KLara分布式扫描架构示意图

核心功能特点

• 现代Web界面：提供直观的"提交即忘"操作模式，支持邮件通知和Web结果查看
• 强大API支持：允许自动化提交Yara任务、查询状态和获取结果
• 分布式架构：可在普通硬件上部署，易于扩展和维护
• 灵活权限管理：支持多用户组配置，可控制扫描资源访问权限

安装与部署KLara

环境准备

KLara需要以下环境支持：

• Python运行环境
• Web服务器（如Apache/Nginx）
• 数据库（用于存储任务和结果）
• 多个工作节点（用于分布式扫描）

安装步骤

1. 克隆代码仓库：

   git clone https://gitcode.com/gh_mirrors/kl/klara

2. 参考安装文档进行部署： 安装指南

3. 配置工作节点： 编辑worker目录下的配置文件config-sample.py，设置病毒样本库路径和调度器地址

使用KLara进行Yara规则扫描

1. 访问Web界面

部署完成后，通过浏览器访问KLara Web界面，登录系统。普通用户需联系管理员创建账号，管理员可通过Admin_tools.php工具生成用户。

2. 创建扫描任务

1. 导航至"新建任务"页面（index.php/jobs/add）
2. 输入任务名称和描述
3. 粘贴Yara规则内容
4. 选择目标扫描仓库（需管理员提前在scan_filesets表中配置）
5. 设置通知邮箱
6. 提交任务

3. 监控任务状态

提交后，可在 dashboard 查看任务进度。KLara会自动将任务分配给可用的工作节点，工作节点通过dispatcher获取任务并开始扫描。

4. 查看扫描结果

任务完成后，系统会通过邮件通知用户。用户可登录Web界面查看详细结果，包括匹配的样本信息和相关元数据。结果支持分享功能，生成的共享链接可与团队成员共享。

高级配置与优化

扫描仓库管理

管理员需确保所有工作节点上的病毒样本库都已在系统中注册。例如，若工作节点配置了/mnt/storage/vircol/作为样本根目录，且包含vt_samples、virus_repository和_clean三个子目录，则需在scan_filesets表中添加这三个仓库条目。

用户权限控制

KLara支持基于用户组的权限管理：

• 通过用户组配置限制可访问的扫描仓库
• 设置用户是否可查看其他用户的任务（jail_users参数）
• 配置搜索配额，控制普通用户每月可提交的任务数量

性能优化建议

• 增加工作节点数量可线性提升扫描速度
• 将样本库分布在多个存储设备上，减少I/O瓶颈
• 对大型样本集进行合理分区，提高并发扫描效率

常见问题解决

任务提交失败

• 检查用户组权限是否包含所选扫描仓库
• 验证Yara规则语法是否正确
• 确认配额是否已用尽（针对普通用户）

扫描速度慢

• 检查工作节点是否正常连接
• 确认样本库本地存储是否可用（远程存储会显著降低速度）
• 考虑增加更多工作节点分担负载

总结

KLara为威胁情报研究者提供了一个高效、可扩展的Yara规则分布式扫描解决方案。通过其直观的Web界面和强大的分布式架构，研究者能够快速扫描海量样本，加速恶意软件发现过程。无论是日常威胁狩猎还是大规模样本分析，KLara都能成为研究者的得力工具。

想要深入了解更多高级功能？请查阅高级特性文档和文件系统优化指南。

【免费下载链接】klaraKaspersky's GReAT KLara项目地址: https://gitcode.com/gh_mirrors/kl/klara