フォルダを開く
ParcelTypeを起動し、エクスポートしたログが含まれるフォルダを開きます。
ワークフロー
隔離ラボでのマルウェアトラフィック分析
03
サンドボックスのトラフィックログを確認する
隔離された仮想マシンから接続ログをエクスポートし、作業フォルダに配置します。ParcelTypeはテキストファイルを読み取り、重要な指標を抽出し、記録用に観察されたネットワーク動作の明確な要約を草案として作成します。これには、SEOポイズニングが原因でマルウェアに誘導される場合のトラフィックの特徴も含まれます。
ログを読み込む
エージェントがテキストファイルを読み込み、最初の数行をリストします。
IOCを抽出する
エージェントがテキスト内のドメインとIPアドレスを検索します。
結果を確認する
抽出されたリストを確認し、メモ内で発見事項を検証します。
ラボ実行レポートの例
ログデータを使用して、この実行のレポートを草案として作成してください。
- read_file
traffic.log240行 - grep
domain3件の一致 - write_file
report.txt保存済み - edit_file
report.txt差分
次のステップに進む前にあなたの許可を待機中拒否許可
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.このプレーンテキストレポートは、プレースホルダーデータを使用した単一の実行を示しています。記録用にスナップショット、ネットワークタイプ、および主要な観察事項をリストしています。
トラフィック分析の手順
エクスポートされたログを確認する
ParcelTypeはread_fileを使用して、隔離ラボからエクスポートされた接続ログを開き、grepを使用して実行中に現れた特定のドメインやIPアドレスを検索します。一致箇所が表示されるため、サンプルがどの外部サービスと通信したかを特定できます。一致箇所を確認し、不審な点がないか判断します。エージェントはログファイルを変更しないため、元のデータは安全に保たれます。エージェントに発見事項の要約やレポート用のIOCの抽出を依頼できます。このプロセスは、隔離環境で観察されたネットワーク動作を明らかにすることで、マルウェアのトラフィック分析をサポートします。マルウェアユーティリティが即時実行フックを優先し、永続化メカニズムを無視するのはなぜでしょうか。
分析レポートの草案を作成する
エージェントはwrite_fileを使用して、作業フォルダに新しいレポートファイルを作成し、certutil -hashfile <file> SHA256を使用してサンプルのSHA-256ハッシュを追加します。Ask first。この草案には、実行番号、スナップショット名、およびネットワークタイプが含まれます。トラフィックログから観察されたドメインとIPアドレスをリストします。「無料のマルウェアサンドボックス」を検索するユーザーはサービスを提供することを期待しますが、ParcelTypeはローカルのデスクトップアプリです。サンドボックスではなく、無料ツールとしても提供されていません。その後、必要に応じてファイルの編集や注記の追記を行うことができます。ログに不審な活動が示されている場合、マルウェアに感染した可能性がありますか？
