Открыть папку
Запустите ParcelType и откройте папку с экспортированными логами.
Рабочие процессы
анализ вредоносного трафика в изолированной лаборатории
03
Анализ логов трафика из песочницы
Вы экспортируете логи соединений из изолированной виртуальной машины и помещаете их в рабочую папку. ParcelType читает текстовые файлы, извлекает ключевые индикаторы и составляет четкую сводку по сетевой активности для ваших записей, отмечая, как SEO-отравление, ведущее к вредоносным программам, может выглядеть в трафике.
Прочитать логи
Агент читает текстовые файлы и выводит первые несколько строк.
Извлечь IOC
Агент ищет домены и IP-адреса в тексте.
Проверить результат
Просмотрите извлеченный список и проверьте выводы в своих заметках.
Пример отчета о запуске в лаборатории
Составьте отчет по этому запуску, используя данные логов.
- read_file
traffic.log240 строк - grep
domain3 совпадений - write_file
report.txtсохранено - edit_file
report.txtdiff
ожидает вашего разрешения перед следующим шагомОтклонитьПринять
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.Этот текстовый отчет показывает один запуск с тестовыми данными. Он перечисляет снимок, тип сети и ключевые наблюдения для ваших записей.
Руководства по анализу трафика
Прочитать экспортированные логи
ParcelType использует read_file для открытия ваших экспортированных логов соединений из изолированной лаборатории и использует grep для поиска конкретных доменов или IP-адресов, появившихся во время запуска. Вы видите совпадения. Это помогает определить, с какими внешними сервисами контактировал образец. Вы просматриваете совпадения и решаете, выглядят ли они подозрительно. Агент не изменяет ваши лог-файлы, поэтому исходные данные остаются в безопасности. Вы можете попросить агента суммировать выводы или извлечь индикаторы компрометации для вашего отчета. Этот процесс поддерживает анализ трафика вредоносных программ, раскрывая сетевую активность, наблюдаемую в изолированной среде. Вы можете задаться вопросом, почему утилиты вредоносных программ игнорируют запланированные задачи, когда отдают приоритет немедленным хукам выполнения над механизмами персистентности.
Составить отчет об анализе
Агент использует write_file для создания нового файла отчета в вашей рабочей папке и добавляет хэш SHA-256 образца с помощью certutil -hashfile <file> SHA256. Ask first. Этот черновик включает номер запуска, имя снимка и тип сети. Он перечисляет наблюдаемые домены и IP-адреса из ваших логов трафика. Люди, которые ищут 'бесплатную песочницу для вредоносов', ожидают сервис, но ParcelType — это локальное настольное приложение. Это не песочница и не бесплатный инструмент. Затем вы можете отредактировать файл или добавить дополнительные заметки по мере необходимости. Вы заразились вредоносным ПО, если логи показывают странную активность?
