Klasörü aç
ParcelType'ı başlatın ve dışa aktarılmış günlükleriniz içeren klasörü açın.
İş akışları
yalıtılmış laboratuvarınızda kötü amaçlı yazılım trafiği analizi
03
Sandbox'ınızdan gelen trafik günlüklerini inceleyin
Yalıtılmış sanal makinenizden bağlantı günlüklerini dışa aktarın ve çalışma klasörünüze yerleştirin. ParcelType metin dosyalarını okur, temel IOC'leri ayıklar ve gözlemlenen ağ davranışlarının net bir özetini hazırlar; SEO poisoning'in kötü amaçlı yazılım trafiğinde nasıl görünebileceğini de belirtir.
Günlükleri oku
Aracı metin dosyalarını okur ve ilk birkaç satırı listeler.
IOC'leri ayıkla
Aracı metin içindeki alan adlarını ve IP adreslerini arar.
Sonucu kontrol et
Ayıklanan listeyi gözden geçirin ve bulgularınızı notlarınızda doğrulayın.
Örnek laboratuvar çalışması raporu
Günlük verilerini kullanarak bu çalışma için bir rapor hazırla.
- read_file
traffic.log240 satır - grep
domain3 eşleşme - write_file
report.txtkaydedildi - edit_file
report.txtfark
bir sonraki adımdan önce onayınızı bekliyorReddetKabul et
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.Bu düz metin rapor, yer tutucu verilerle tek bir çalışmayı gösterir. Kayıtlarınız için anlık görüntüyü, ağ türünü ve temel gözlemleri listeler.
Trafik analizi için adım adım kılavuzlar
Dışa aktarılmış günlükleri oku
ParcelType, yalıtılmış laboratuvarınızdan dışa aktarılan bağlantı günlüklerini açmak için read_file kullanır ve çalışma sırasında görünen belirli alan adları veya IP adreslerini aramak için grep kullanır. Eşleşmeleri görürsünüz. Bu, numunenin hangi harici hizmetlere bağlandığını belirlemenize yardımcı olur. Eşleşmeleri gözden geçirir ve şüpheli görünüp görünmediklerine karar verirsiniz. Aracı günlük dosyalarınızı değiştirmez, bu nedenle orijinal verileriniz güvende kalır. Aracıdan bulguları özetlemesini veya raporunuz için IOC'leri ayıklamasını isteyebilirsiniz. Bu süreç, yalıtılmış ortamda gözlemlenen ağ davranışlarını ortaya çıkararak kötü amaçlı yazılım trafiği analizini destekler. Kötü amaçlı yazılım araçlarının, kalıcılık mekanizmaları yerine anlık yürütme kancalarını önceliklendirdikleri için planlanmış görevleri neden görmezden geldiğini merak ediyor olabilirsiniz.
Analiz raporu taslağı oluştur
Aracı, çalışma klasörünüzde yeni bir rapor dosyası oluşturmak için write_file kullanır ve numunenin SHA-256 karmasını certutil -hashfile <dosya> SHA256 kullanarak ekler. Ask first. Bu taslak, çalışma numarasını, anlık görüntü adını ve ağ türünü içerir. Trafik günlüklerinizden gözlemlenen alan adlarını ve IP adreslerini listeler. 'Ücretsiz kötü amaçlı yazılım sandbox'ı arayanlar bir hizmet bekler, ancak ParcelType yerel bir masaüstü uygulamasıdır. Bir sandbox değildir ve ücretsiz bir araç olarak sunulmaz. Ardından dosyayı düzenleyebilir veya gerektiğinde daha fazla not ekleyebilirsiniz. Günlükler garip bir aktivite gösteriyorsa, kötü amaçlı yazılım tarafından enfekte oldunuz mu?
