Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
plikbinarnymożezrobić,jakgowykryćwsieciorazjakoszacowaćipowstrzymać
powodowaneprzezniegoszkody
.
Pookreśleniu,któreplikiwymagająpełnejanalizy
,nadchodzimomentnaopra-
cowaniesygnaturwykrywającychinfekcjezłośliwymoprogramowaniemwsieci.Jak
siędowieszztejksiążki,analizamalwaremożezostaćwykorzystanadoopracowania
sygnaturhostowychisieciowych.
Sygnaturyhostowelubindykatorysłużądowykrywaniazłośliwegokodunakompu-
terachofiarach.Indykatoryteczęstookreślająplikiutworzonelubzmodyfikowane
przezzłośliweoprogramowanielubokreślonezmiany
,którezostaływprowadzonedo
rejestru.Wprzeciwieństwiedosygnaturantywirusowych,indykatorymalwarekoncen-
trująsięnatym,cozłośliweoprogramowanierobiwsystemie,aniezaśnajegowłasno-
ściach,coczynijebardziejskutecznymiwwykrywaniuzłośliwegooprogramowania,
którezmieniaswojąpostaćlubzostałousuniętezdyskutwardego.
Sygnaturysieciowesłużądowykrywaniazłośliwegokodupoprzezmonitorowanieru-
chusieciowego.Sygnaturysieciowemożnatworzyćbezanalizyzłośliwegooprogramo-
wania,chociażindykatorytworzonezapomocąanalizymalwaresązwykleznacznie
bardziejskuteczne,oferującwyższywskaźnikwykrywalnościimniejfałszywychtrafień.
Poutworzeniusygnaturostatecznymcelemjestustalenie,wjakisposóbdziałazło-
śliweoprogramowanie.Jesttozazwyczajnajczęściejzadawanepytanieprzezczłonków
kierownictwawyższegoszczebla,którzychcąpełnegowyjaśnieniapoważnychwłamań.
Dogłębnetechniki,którychnauczyszsięztejksiążki,pozwoląciokreślićcelizdolności
złośliwychprogramów.
Technikianalizyzłośliwegooprogramowania
Najczęściejpodczasprzeprowadzaniaanalizymalwarebędziemydysponowaćtylko
plikiemwykonywalnym,któryniejestczytelnydlaczłowieka.Abygozrozumieć,bę-
dziemyużywaćróżnychnarzędziisztuczek,zktórychkażdebędzieujawniaćniewielką
ilośćinformacji.Abyzobaczyćpełnyobraz,będziemymusieliużyćróżnychnarzędzi.
Istniejądwapodstawowepodejściadoanalizyzłośliwegooprogramowania:sta-
tyczneidynamiczne.Analizastatycznaobejmujebadaniemalwarebezjegourucha-
miania.Analizadynamicznapoleganauruchomieniumalware.Obietechnikidzieląsię
równieżnapodstawowelubzaawansowane.
Podstawowaanalizastatyczna
Podstawowaanalizastatycznapoleganasprawdzeniuplikuwykonywalnegobezprze-
glądaniarzeczywistychinstrukcji.Możeonapotwierdzić,czyplikjestzłośliwy
,podać
informacjeojegofunkcjonalności,aczasemdostarczyćinformacje,którepozwoląna
wygenerowanieprostychsygnatursieciowych.Podstawowaanalizastatycznajestprosta
imożebyćszybka,alewdużejmierzejestnieskutecznawobecwyrafinowanegozłośli-
wegooprogramowaniaimożepomijaćważnezachowania.
Podstawowaanalizadynamiczna
Technikipodstawowejanalizydynamicznejpolegająnauruchamianiuzłośliwego
oprogramowaniaiobserwowaniujegozachowaniawsystemiewceluusunięciainfek-
cji,uzyskaniaskutecznychsygnaturlubuzyskaniaobutychrezultatów.Zanimjednak
2Rozdział0
