Відкрити папку
Запустіть ParcelType та відкрийте папку з експортованими логами.
Робочі процеси
Аналіз трафіку шкідливого ПЗ у вашій ізольованій лабораторії
03
Огляд логів трафіку з вашої пісочниці
Ви експортуєте логи з’єднань із ізольованої віртуальної машини та розміщуєте їх у робочій папці. ParcelType читає текстові файли, виділяє ключові індикатори компрометації та складає чіткий звіт про спостережену мережеву поведінку для ваших архівів, зазначаючи, як SEO-отруєння, що веде до шкідливого ПЗ, може виглядати в трафіці.
Прочитати логи
Агент читає текстові файли та виводить перші кілька рядків.
Виділити IOCs
Агент шукає домени та IP-адреси в тексті.
Перевірити результат
Огляньте отриманий список та перевірте знахідки у своїх нотатках.
Приклад звіту про запуск у лабораторії
Складіть звіт для цього запуску, використовуючи дані логів.
- read_file
traffic.log240 рядків - grep
domain3 збіги - write_file
report.txtзбережено - edit_file
report.txtdiff
чекає на вашу згоду перед наступним крокомВідхилитиПрийняти
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.Цей текстовий звіт показує один запуск із тестовими даними. У ньому вказано знімок, тип мережі та ключові спостереження для ваших архівів.
Інструкції з аналізу трафіку
Прочитати експортовані логи
ParcelType використовує read_file для відкриття експортованих логів з’єднань із ізольованої лабораторії та використовує grep для пошуку конкретних доменів або IP-адрес, які з’явилися під час запуску. Ви бачите збіги. Це допомагає визначити, з якими зовнішніми службами контактувало зразок. Ви переглядаєте збіги та вирішуєте, чи виглядають вони підозріло. Агент не змінює ваші лог-файли, тому ваші первинні дані залишаються в безпеці. Ви можете попросити агента узагальнити знахідки або виділити індикатори компрометації для вашого звіту. Цей процес підтримує аналіз трафіку шкідливого ПЗ, розкриваючи мережеву поведінку, спостережену в ізольованому середовищі. Можливо, ви запитаєте, чому інструменти шкідливого ПЗ ігнорують заплановані завдання, коли пріоритетом є миттєві хуки виконання, а не механізми стійкості.
Скласти звіт з аналізу
Агент використовує write_file для створення нового файлу звіту у вашій робочій папці та додає хеш SHA-256 зразка за допомогою команди certutil -hashfile <file> SHA256. Ask first. Цей черговий звіт містить номер запуску, назву знімка та тип мережі. У ньому перелічено спостережені домени та IP-адреси з ваших логів трафіку. Люди, які шукають «безкоштовну пісочницю для шкідливого ПЗ», очікують отримати сервіс, але ParcelType — це локальний настільний додаток. Він не є пісочницею і не пропонується як безкоштовний інструмент. Потім ви можете редагувати файл або додавати більше нотаток за потреби. Чи були ви вражені шкідливим ПЗ, якщо логи показують дивну активність?
