फोल्डर खोलें
ParcelType लॉन्च करें और अपने निर्यातित लॉग वाले फोल्डर को खोलें।
कार्यप्रवाह
अपने अलग-थलग लैब में मैलवेयर ट्रैफ़िक विश्लेषण
03
अपने सैंडबॉक्स से ट्रैफ़िक लॉग की समीक्षा करें
आप अपने अलग-थलग वर्चुअल मशीन से कनेक्शन लॉग निर्यात करते हैं और उन्हें वर्किंग फोल्डर में रखते हैं। ParcelType टेक्स्ट फ़ाइलों को पढ़ता है, प्रमुख संकेतकों को निकालता है, और आपके रिकॉर्ड के लिए देखे गए नेटवर्क व्यवहार का एक स्पष्ट सारांश तैयार करता है, यह नोट करते हुए कि मैलवेयर तक पहुंचने वाले SEO पोइजनिंग ट्रैफ़िक में कैसा दिख सकता है।
लॉग पढ़ें
एजेंट टेक्स्ट फ़ाइलों को पढ़ता है और पहले कुछ लाइनों की सूची बनाता है।
IOC निकालें
एजेंट टेक्स्ट में डोमेनों और आईपी पताओं की तलाश करता है।
परिणाम जांचें
निकाली गई सूची की समीक्षा करें और अपने नोट्स में निष्कर्षों की पुष्टि करें।
उदाहरण लैब रन रिपोर्ट
लॉग डेटा का उपयोग करके इस रन के लिए एक रिपोर्ट तैयार करें।
- read_file
traffic.log240 लाइनें - grep
domain3 मिलान - write_file
report.txtसहेजा गया - edit_file
report.txtडिफ
अगले चरण से पहले आपकी अनुमति की प्रतीक्षाअस्वीकार करेंस्वीकार करें
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.यह सादा-पाठ रिपोर्ट एक अकेले रन को दर्शाती है जिसमें प्लेसहोल्डर डेटा है। यह आपके रिकॉर्ड के लिए स्नैपशॉट, नेटवर्क प्रकार और प्रमुख अवलोकनों की सूची बनाती है।
ट्रैफ़िक विश्लेषण के लिए वॉकथ्रू
निर्यातित लॉग पढ़ें
ParcelType अपने अलग-थलग लैब से आपके निर्यातित कनेक्शन लॉग खोलने के लिए read_file का उपयोग करता है और रन के दौरान दिखाई देने वाले विशिष्ट डोमेनों या आईपी पताओं की तलाश के लिए grep का उपयोग करता है। आपको मिलान दिखाई देते हैं। यह आपको यह पहचानने में मदद करता है कि सैंपल ने किन बाहरी सेवाओं से संपर्क किया। आप मिलान की समीक्षा करते हैं और तय करते हैं कि वे शंकास्पद लगते हैं या नहीं। एजेंट आपके लॉग फ़ाइलों को नहीं बदलता है, इसलिए आपका मूल डेटा सुरक्षित रहता है। आप एजेंट से निष्कर्षों का सारांश तैयार करने या अपनी रिपोर्ट के लिए कमिप्रोमाइज के संकेत निकालने के लिए कह सकते हैं। यह प्रक्रिया अलग-थलग वातावरण में देखे गए नेटवर्क व्यवहार को उजागर करके मैलवेयर ट्रैफ़िक विश्लेषण का समर्थन करती है। आप आश्चर्य कर सकते हैं कि मैलवेयर यूटिलिटीज शेड्यूल्ड टास्क को क्यों नज़रअंदाज़ करती हैं जब वे तत्काल एक्जीक्यूशन हुक्स को पर्सिस्टेंस मैकेनिज्म की तुलना में प्राथमिकता देती हैं।
विश्लेषण रिपोर्ट ड्राफ़्ट करें
एजेंट अपने वर्किंग फोल्डर में एक नई रिपोर्ट फ़ाइल बनाने के लिए write_file का उपयोग करता है और certutil -hashfile <file> SHA256 का उपयोग करके सैंपल का SHA-256 हैश जोड़ता है। Ask first। इस ड्राफ़्ट में रन नंबर, स्नैपशॉट नाम और नेटवर्क प्रकार शामिल हैं। यह आपके ट्रैफ़िक लॉग से देखे गए डोमेनों और आईपी पताओं की सूची बनाता है। लोग 'फ्री मैलवेयर सैंडबॉक्स' की तलाश में होते हैं और एक सेवा की उम्मीद करते हैं, लेकिन ParcelType एक लोकल डेस्कटॉप ऐप है। यह एक सैंडबॉक्स नहीं है और मुफ़्त टूल के रूप में पेश नहीं किया जाता है। आप फिर आवश्यकतानुसार फ़ाइल को संपादित कर सकते हैं या अधिक नोट्स जोड़ सकते हैं। क्या आपको मैलवेयर का शिकार हुआ है यदि लॉग अजीब गतिविधि दिखाते हैं?
