Əsas fikir
Müşahidəni şərhdən ayırın. Statik və dinamik nəticələri insident konteksti ilə bağlayın, sonra aşkarlama və cavab tədbirlərini sınaqdan keçirin.
Təhlilin nəticəsi nə olmalıdır?
Zərərli proqram təhlili nümunənin nə etdiyini, hansı məlumat və sistemlərə toxunduğunu, necə əlaqə saxladığını və hadisənin araşdırılmasına hansı izlər verdiyini müəyyənləşdirir. Nəticə analitik üçün yoxlanılan sübut, müdafiə komandası üçün aşkarlama qaydaları və cavab tədbirləri olmalıdır.
Nümunənin identifikasiyası
Fayl heşi, format, ölçü, əldə edilmə yeri və vaxtını qeydə alın.
Davranış və təsir
Prosesləri, fayl və reyestr dəyişikliklərini, şəbəkə əlaqələrini və davamlılıq mexanizmlərini əlaqələndirin.
Müdafiəyə ötürülən nəticə
İndikatorları kontekstlə verin; qayda, bloklama və bərpa tədbirlərini sınaqdan keçirərək məsul şəxsə təhvil verin.
Statik, dinamik və kod səviyyəsində təhlil
Metodu araşdırma sualına görə seçin. Faylın quruluşu, icrada müşahidə olunan davranış və kodun məntiqi eyni nümunəni müxtəlif tərəflərdən izah edir.
| Metod | Nə göstərir | Nəyi nəzərə almaq lazımdır |
|---|---|---|
| Statik təhlil | İcra etmədən sətirlər, metadata, importlar, fayl quruluşu və mümkün ünvanlar. | Qablaşdırma, şifrələmə və obfuskasiya məzmunu gizlədə bilər; sətir təkbaşına davranışı sübut etmir. |
| Dinamik təhlil | Nəzarət olunan icra zamanı proseslər, sistem dəyişiklikləri və trafik. | İzolyasiya və müşahidə alətləri tələb olunur. Nümunə təhlil mühitini (sandbox) tanıya, fəaliyyətini gecikdirə və ya əlavə giriş məlumatı gözləyə bilər. |
| Əks mühəndislik | Dizassembler, dekompilyator və sazlama aləti (debugger) ilə kodun məntiqi, zərərli funksiyalar, şifrələmə və idarəetmə kanalı (C2). | Arxitektura və proqramlaşdırma bilikləri tələb edir; statik oxunuşu və idarə olunan dinamik sazlamanı birləşdirə bilər. |
Statik yoxlamadan başlayın
Nümunənin nüsxəsi üzərində işləyin. Həqiqi fayl formatını, başlıqları, bölmələri, imza məlumatını və importları yoxlayın; maraqlı sətirləri, URL, domen və IP ünvanlarını çıxarın. Heş reputasiyası ilkin istiqamət verə bilər. Kodda olan ünvanı müşahidə edilmiş şəbəkə əlaqəsindən ayırın. Qablaşdırma və ya şifrələmə varsa, daha dərin təhlilin hansı suala cavab verməli olduğunu müəyyən edin.
İzolyasiya olunmuş icranı müşahidə edin
Uyğun əməliyyat sistemi və nəzarət olunan şəbəkəsi olan təhlil mühiti hazırlayın. Başlanğıc vəziyyəti saxlayın, sonra proses ağacını, fayl və reyestr dəyişikliklərini, yaradılan xidmət və tapşırıqları, DNS sorğularını və əlaqələri qeydə alın. İcranın başlanma vaxtını, müşahidə müddətini və nümunəyə verilən girişləri hesabatda göstərin. Aktivlik görünməməsi faylın təhlükəsiz olduğunu təsdiqləmir: vaxt, istifadəçi hərəkəti və mühit davranışı dəyişə bilər.
Yaddaş sübutları
İcazə əsasında alınmış operativ yaddaş surəti işləyən prosesləri, yüklənmiş modulları və diskdə görünməyən məlumatları araşdırmağa kömək edir.
Şəbəkə konteksti
Nəzarət olunan trafik qeydlərini DNS, ünvan, vaxt və əlaqəli proseslə birləşdirin; real xarici infrastruktura çıxışı laboratoriya siyasəti idarə etməlidir.
Daha dərin kod təhlili nə zaman lazımdır?
Statik izlər və izolyasiya olunmuş mühitdə müşahidələr suala cavab vermirsə, mütəxəssis kodun idarəetmə axınını və API çağırışlarını araşdırır. Dizassembler maşın təlimatlarını, dekompilyator isə daha yüksək səviyyəli təxmini təsviri verir. Sazlama aləti nəzarət olunan icrada vəziyyət dəyişikliklərini izləyir. Məqsəd gizli funksiyanı, konfiqurasiyanı, şifrələmə mexanizmini və ya idarəetmə kanalını izah etməkdir; nəticəni təkrarlana bilən müşahidə ilə bağlayın.
Nümunədən müdafiə tədbirinə
İşi sübutların saxlanması və insident prosesinə uyğun aparın. Hər mərhələ növbəti komandaya aydın nəticə verməlidir.
Qəbul və qeydiyyat
İcazəni, nümunənin mənbəyini, heşini və saxlanmasını qeydə alın; orijinalı qoruyun.
İlkin qiymətləndirmə
Format, metadata, sətirlər və reputasiya ilə prioritet və araşdırma sualını seçin.
Nəzarət olunan təhlil
Statik, dinamik, yaddaş və şəbəkə üsullarını seçin; istifadə olunan alət və mühitin versiyasını saxlayın.
Korrelyasiya
Laboratoriya izlərini insidentin vaxt xətti və son nöqtə telemetriyası ilə müqayisə edin.
Hesabat və yoxlama
Müşahidələri, indikatorları və cavab tədbirlərini yazın; aşkarlama qaydalarını zərərli və zərərsiz nümunələrlə yoxlayın.
Cavab və təkmilləşdirmə
Təhlilin nəticələrini təcrid, təmizləmə, yeniləmə və bərpa planına daxil edin; qaydaları və əməliyyat təlimatlarını yeniləyin.
Praktik suallar
Metod seçərkən və nəticəni tətbiq edərkən bu fərqləri nəzərə alın.
Antivirus skanı tam təhlildirmi?
Skan faylın reputasiyası və aşkarlama nəticəsi barədə ilkin məlumat verir. Tam araşdırma davranışı, təsiri, əlaqəli izləri və cavab tədbirlərini izah edir.
Obfuskasiya metod seçiminə necə təsir edir?
O, sətirləri və kod məntiqini gizlədə bilər. Statik müşahidələri idarə olunan icra və lazım olduqda əks mühəndisliklə tamamlayın.
İzolyasiya olunmuş mühitdə niyə aktivlik görünməyə bilər?
Nümunə mühiti tanıya, əlavə fayl və ya istifadəçi hərəkəti gözləyə, yaxud gecikmə tətbiq edə bilər. Nəticədə mühiti və müşahidə müddətini qeyd edin.