Как повысить эффективность сендбокса | Блог Касперского

[KL FC Bot 143]

Сендбокс — один из самых эффективных инструментов для анализа подозрительных объектов и выявления вредоносного поведения. В том или ином виде он реализован во множестве защитных решений. Но точность выявления угроз напрямую зависит от того, как именно он эмулирует среду, в которой запускается подозрительный объект.

Что такое сендбокс и как он работает

Сендбокс, он же «песочница», по сути, инструмент для создания изолированной среды, в которой изучается поведение подозрительных процессов. Обычно анализ происходит в виртуальной машине или контейнере, что позволяет исследовать потенциально вредоносный объект, не подвергая риску заражения или повреждения реальную рабочую систему и не рискуя утечкой важных корпоративных данных.

Например, сендбокс, составляющий часть платформы Kaspersky Anti Targeted Attack, работает следующим образом. Если один из компонентов нашего защитного решения выявляет опасный или подозрительный объект (файл или, скажем, URL), он передается на сканирование сендбоксу, вместе с характеристиками рабочей системы (версией ОС, списком установленных программ, параметрами окружения и так далее). Сендбокс запускает объект или переходит по адресу, записывая все артефакты:

• логи исполнения, включая вызовы системных API, работу с файлами, сетевые активности, URL и процессы, к которым объект обращался;
• снимки состояния системы и памяти (дампы);
• созданные (распакованные или загруженные) объекты;
• сетевой трафик.

После окончания выполнения сценария собранные артефакты анализируются и сканируются на наличие следов зловредной активности. Если таковые обнаруживаются, объект признается вредоносным, а выявленные техники, тактики и процедуры размечаются в соответствии с матрицей MITRE ATT&CK. Все полученные данные также сохраняются для дальнейшего анализа.

 

Посмотреть полную статью