악성샘플2 20. 악성코드 샘플 수집 및 기초 • 정적분석 (1) 이전에 구성한 Snort 환경을 기반으로 탐지 패턴을 만들어야 하기 때문에 네트워크 행위를 명확하게 하는 샘플을 찾는 것이 중요하다. 하지만 샘플이 HTTPS로 통신을 하게 되면 관련 패킷들이 모두 암호화가 되어있다 보니 네트워크 행위를 하더라도 HTTP로 통신을 하는 샘플을 찾아야 되는 수고로움이 있다. 이 샘플을 구하는 것 자체가 생각보다 많은 시간이 소요되며, 실무에서도 동일한 업무를 수행할 때 정말 많은 비중을 차지한다고 한다. 탐지 패턴을 하나 만드는 데 보통 3주 정도 기간을 갖고 진행을 한다고 봤을 때, 평균적으로 1주에서 2주 정도를 샘플링을 하는데 시간을 보낸다고 한다. 그리고 샘플 분석에 3일, 보고서를 작성하는 데 2~3일을 일반적인 기간으로 본다. 샘플이 네트워크 행위를 정말로 하는.. 2024. 3. 31. 12. 샘플 분석 환경 구성 악성 샘플을 분석하기 위해서는 로컬 환경이 아닌 윈도우와 동일한 가상환경을 구성하여, 해당 환경에서 진행을 해야 한다. 효과가 미미한 악성샘플의 경우는 백신에 의한 치료를 하면 되겠지만, 랜섬웨어 같은 크리티컬 한 악성코드의 경우는 해결 방법이 없기 때문에 별도의 환경을 구성하여 분석을 실행해야만 한다. 가상 환경에서 악성코드 분석을 진행할 때, 로컬 환경에 있는 백신에서 악성코드가 감지되었다는 알람이 발생되는 경우들이 있다. 이 백신 같은 경우는 가상 환경과 로컬 환경 사이를 구분하지 못한다. 하지만 가상 환경 내에서 일어나고 있는 동작까지는 탐지가 가능한 것이다. 즉, 위와 같은 경우가 발생하더라도 로컬 환경에 영향을 미치지는 않는다. 그리고 동적분석 진행할 때 앞으로 여러 가지 툴을 사용할 것이다... 2024. 1. 13. 이전 1 다음
