Map openen
Start ParcelType en open de map met je geëxporteerde logs.
Werkstromen
malware-verkeeranalyse in je geïsoleerde lab
03
Beoordeel trafficlogs van je sandbox
Je exporteert verbindinglogs van je geïsoleerde virtuele machine en plaatst ze in de werkmap. ParcelType leest de tekstbestanden, extrahert belangrijke indicatoren en maakt een duidelijke samenvatting van het waargenomen netwerkgedrag voor je administratie, met notities over hoe seo poisoning die leidt naar malware zich in het verkeer kan manifesteren.
Logs lezen
De agent leest de tekstbestanden en geeft de eerste paar regels weer.
IOCs extraheren
De agent zoekt naar domeinnamen en IP-adressen in de tekst.
Resultaat controleren
Bekijk de geëxtraheerde lijst en verifieer de bevindingen in je notities.
Voorbeeldrapport van een labrun
Maak een rapport voor deze run op basis van de loggegevens.
- read_file
traffic.log240 regels - grep
domain3 matches - write_file
report.txtopgeslagen - edit_file
report.txtdiff
wacht op jouw goedkeuring voordat de volgende stap wordt uitgevoerdAfwijzenAccepteren
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.Dit platte tekstrapport toont een enkele run met placeholdergegevens. Het geeft de snapshot, netwerktype en belangrijke observaties weer voor je administratie.
Uitleg bij verkeersanalyse
Geëxporteerde logs lezen
ParcelType gebruikt read_file om je geëxporteerde verbindinglogs van het geïsoleerde lab te openen en gebruikt grep om te zoeken naar specifieke domeinnamen of IP-adressen die tijdens de run verschenen. Je ziet de matches. Dit helpt je om te identificeren welke externe diensten het monster heeft benaderd. Je beoordeelt de matches en beslist of ze verdacht lijken. De agent wijzigt je logbestanden niet, dus je originele gegevens blijven veilig. Je kunt de agent vragen de bevindingen samen te vatten of indicatoren voor compromis (IOCs) te extraheren voor je rapport. Dit proces ondersteunt malware-verkeeranalyse door het netwerkgedrag zichtbaar te maken dat in de geïsoleerde omgeving is waargenomen. Je vraagt je misschien af waarom malware-hulpmiddelen geplande taken negeren wanneer ze directe uitvoeringshooks prioriteren boven persistentiemechanismen.
Analyserapport opstellen
De agent gebruikt write_file om een nieuw rapportbestand in je werkmap te maken en voegt de SHA-256-hash van het monster toe met certutil -hashfile <file> SHA256. Ask first. Dit concept bevat het runnummer, de snapshotnaam en het netwerktype. Het geeft de waargenomen domeinnamen en IP-adressen weer uit je trafficlogs. Mensen die zoeken naar 'gratis malware sandbox' verwachten een service, maar ParcelType is een lokale desktopapp. Het is geen sandbox en wordt niet als gratis tool aangeboden. Je kunt het bestand vervolgens bewerken of meer notities toevoegen zoals nodig. Ben je getroffen door malware als de logs vreemde activiteit tonen?
