Sandbox Analyzer-ийн шинжилгээний дэлгэрэнгүйг хэрхэн харах вэ?

Sandbox Analyzer хуудас илгээлтийн картуудыг өдөр бүрээр, хамгийн сүүлийнх нь эхэнд байхаар харуулна.

Илгээлтийн карт дараах мэдээллийг агуулна:

• Шинжилгээний үр дүн (Analysis result)
• Дээжийн нэр (Sample name)
• Илгээлтийн төрөл (Submission type)
• Ноцтой байдлын оноо (Severity score)
• Хамаарах файл ба процессууд
• Ажиллуулж шинжилсэн орчин (Detonation environment)
• Hash утга (MD5)
• ATT&CK техникүүд
• Үр дүн байхгүй үед илгээлтийн төлөв

Илгээлтийн карт бүр боломжтой бол нарийвчилсан HTML шинжилгээний тайлангийн холбоосыг агуулна. Тайланг нээхийн тулд View (Харах) товчийг дарна.

HTML тайлан нь тайлбар текст, график, дэлгэцийн зургуудаар дамжуулан дээжийн ажиллуулж шинжилсэн орчин дахь үйл ажиллагааг олон түвшинд, баялаг мэдээллээр харуулна.

Sandbox Analyzer-ийн HTML тайлангаас дараахыг мэдэж авч болно:

1. 1Шинжилсэн дээжийн талаарх ерөнхий мэдээлэл: хортой программын нэр ба ангилал, илгээлтийн дэлгэрэнгүй (файлын нэр, төрөл, хэмжээ, hash, илгээсэн цаг, шинжилгээний үргэлжилсэн хугацаа).

2. 2Зан төлөвийн шинжилгээний үр дүн. Үүнд ажиллуулж шинжлэх явцад бүртгэгдсэн бүх аюулгүй байдлын үйл явдлыг хэсэг хэсгээр нь багтаасан.

Аюулгүй байдлын үйл явдалд дараах зүйлс хамаарна:

- Системд болон зөөврийн дискэнд файл бичих / устгах / зөөх / хуулбарлах / солих.
- Шинээр үүсгэсэн файлыг ажиллуулах.
- Файлын системийн өөрчлөлт.
- Виртуал машин дотор ажиллаж буй программуудын өөрчлөлт.
- Windows-ийн taskbar болон Start цэсийн өөрчлөлт.
- Процесс үүсгэх / зогсоох / процесст код шигтгэх (injecting).
- Registry key бичих / устгах.
- Mutex объект үүсгэх.
- Үйлчилгээ (service) үүсгэх / эхлүүлэх / зогсоох / өөрчлөх / лавлах / устгах.
- Хөтчийн аюулгүй байдлын тохиргоог өөрчлөх.
- Windows Explorer-ийн дэлгэцийн тохиргоог өөрчлөх.
- Файлыг галт хана (firewall)-ны үл хамаарах жагсаалтад нэмэх.
- Сүлжээний тохиргоог өөрчлөх.
- Системийг асаах үед ажиллахыг идэвхжүүлэх.
- Алсын хост руу холбогдох.
- Тодорхой домэйнд хандах.
- Тодорхой домэйнд өгөгдөл дамжуулах болон тэндээс авах.
- Төрөл бүрийн холболтын протоколоор URL, IP, портод хандах.
- Виртуал орчны шинж тэмдгийг шалгах.
- Хяналтын хэрэгслийн шинж тэмдгийг шалгах.
- Snapshot үүсгэх.
- SSDT, IDT, IRP hook.
- Сэжигтэй процессын санах ойн dump.
- Windows API функцийн дуудалт.
- Гүйцэтгэлийг хойшлуулахын тулд тодорхой хугацаанд идэвхгүй байх.
- Тодорхой хугацааны давтамжтайгаар гүйцэтгэх үйлдэлтэй файл үүсгэх.