Otwórz folder
Uruchom ParcelType i otwórz folder z wyeksportowanymi logami.
Przepływy pracy
analiza ruchu malware w izolowanym laboratorium
03
Przejrzyj logi ruchu z piaskownicy
Eksportujesz logi połączeń z izolowanej maszyny wirtualnej i umieszczasz je w folderze roboczym. ParcelType odczytuje pliki tekstowe, wyodrębnia kluczowe wskaźniki i przygotowuje przejrzyste streszczenie zaobserwowanego zachowania sieciowego do Twoich notatek, wskazując, jak w ruchu może wyglądać seo poisoning prowadzący do malware.
Odczytaj logi
Agent odczytuje pliki tekstowe i wyświetla kilka pierwszych linii.
Wyodrębnij IOCs
Agent szuka domen i adresów IP w tekście.
Sprawdź wynik
Przejrzyj wyodrębnioną listę i zweryfikuj wnioski w swoich notatkach.
Przykładowy raport z uruchomienia w laboratorium
Stwórz raport dla tego uruchomienia na podstawie danych z logów.
- read_file
traffic.log240 linii - grep
domain3 dopasowania - write_file
report.txtzapisano - edit_file
report.txtdiff
oczekiwanie na Twoją zgodę przed wykonaniem kolejnego krokuOdrzućZaakceptuj
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.Ten raport w formacie tekstowym przedstawia pojedyncze uruchomienie z danymi zastępczymi. Wymienia migawkę, typ sieci i kluczowe obserwacje do Twoich notatek.
Przewodniki po analizie ruchu
Odczytaj wyeksportowane logi
ParcelType używa read_file do otwarcia wyeksportowanych logów połączeń z izolowanego laboratorium i używa grep do wyszukania konkretnych domen lub adresów IP, które pojawiły się podczas uruchomienia. Widzisz dopasowania. Pomaga to zidentyfikować, z jakimi usługami zewnętrznymi skontaktował się próbek. Przeglądasz dopasowania i decydujesz, czy wyglądają podejrzanie. Agent nie zmienia Twoich plików logów, więc Twoje oryginalne dane pozostają bezpieczne. Możesz poprosić agenta o podsumowanie wniosków lub wyodrębnienie wskaźników kompromisu do swojego raportu. Ten proces wspiera analizę ruchu malware, ujawniając zachowanie sieciowe zaobserwowane w środowisku izolowanym. Możesz się zastanawiać, dlaczego narzędzia malware ignorują zadania zaplanowane, gdy priorytetyzują natychmiastowe haki wykonania nad mechanizmami trwałości.
Stwórz raport z analizą
Agent używa write_file do utworzenia nowego pliku raportu w Twoim folderze roboczym i dodaje hash SHA-256 próbki za pomocą certutil -hashfile <file> SHA256. Ask first. Ten wstępny raport zawiera numer uruchomienia, nazwę migawki i typ sieci. Wymienia zaobserwowane domeny i adresy IP z Twoich logów ruchu. Osoby szukające 'darmowej piaskownicy do malware' oczekują usługi, ale ParcelType to lokalna aplikacja desktopowa. Nie jest to piaskownica i nie jest oferowana jako darmowe narzędzie. Możesz następnie edytować plik lub dopisać więcej notatek, jeśli jest to konieczne. Czy zostałeś zainfekowany malware, jeśli logi pokazują dziwną aktywność?
