Behavioral Analysis Flashcards
Hvad er behavioral analysis?
Det er en metode til at analysere og forstå adfærden af en softwareapplikation eller kode ved at observere og evaluere dens runtime-opførsel.
Hvorfor er formålet med behavioral analysis?
Det er at identificere og forstå, hvordan en applikation eller kode opfører sig under forskellige scenarier.
Det hjælper med at afsløre skadelig adfærd, identificere skjult funktionalitet og afsløre potentielle sikkerhedsrisici.
Hvordan bruger man behavioral analysis?
?
Hvordan kan behavioral analysis hjælpe med at identificere skadeligt adfærd?
Ved at analysere adfærden af en applikation eller kode under forskellige betingelser kan behavioral analysis afsløre unormal eller mistænkelig opførsel, der kan indikere tilstedeværelsen af skadelig adfærd såsom malware, ransomware eller angrebsmetoder som f.eks. backdoors eller keyloggers.
Hvad er forskellen mellem static og behavioral analysis i reverse engineering?
Statiske analysemetoder fokuserer på at studere applikationens kildekode eller binære filer uden at køre programmet.
Behavioral analysis involverer at køre applikationen og observere dens runtime-opførsel.
Statiske analyser er mere rettet mod at identificere strukturelle egenskaber, mens behavioral analysis fokuserer på at afsløre dynamisk adfærd og interaktioner med systemet.
Hvilke typer adfærdsmæssige indikatorer kan identificeres ved hjælp af behavioral analysis?
- Systemkald.
- Netværksaktivitet.
- Filoperationer.
- Hukommelsesmanipulation.
- Ændringer i registreringsdatabasen.
- Oprettelse/ændring af processer.
- Andre interaktioner med systemressourcer.
Hvordan kan behavioral analysis bidrage til opdagelse af skjulte funktioner eller malware?
Eksempelvis, ved at observere ukendte netværkskommunikation eller hukommelsesmanipulation. Det kan også afsløre skjult eller krypteret malware ved at identificere unormal adfærd eller mistænkelig kommunikation med eksterne servere.
Hvilke udfordringer kan opstå under brugen af behavioral analysis?
- Kompleksiteten af applikationer og deres adfærd.
- Manglende dokumentation eller kildekode.
- Beskyttelsesmekanismer såsom anti-debugging teknikker og obfuscation.
- Nødvendigheden af at håndtere store mængder data og filtrere relevante oplysninger.
Hvad er nogle af de potentielle anvendelser af behavioral analysis udover malware analyse?
- Identifikation af sikkerhedshuller og sårbarheder i software.
- Opdagelse af potentielt farlige eller mistænkelige adfærdsmønstre i applikationer.
- Analyse af softwarebeskyttelsesteknikker og reverse engineering af ukendt software for at forstå dens funktionalitet og interne mekanismer.
- Verificering af softwarens overensstemmelse med gældende sikkerhedsstandarder eller regulativer.
Hvilke værktøjer skal bruges til behavioral analysis (Windows & REMnux)?
Windows: Process hacker og Wireshark.
REMnux: Fakedns, INetSim og Wireshark.
Forklar hvad de forskellige værktøjer bruges til.
Process hacker: Det bruges til at analysere og overvåge processer, filsystemet og systemressourcer på en computer.
Wireshark: Det bruges til at fange og analysere netværkstrafik.
Fakedns: Den simulerer en DNS-server og bruges til at videresende eller ændre DNS-requests.
INetSim: Den simulere forskellige internetprotokoller og tjenester og bruges til at oprette en kontrolmiljø, hvor man kan undersøge og analysere malware adfærd under simulering af forskellige netværksforhold og tjenester.
Hvad kan værktøjet “process hacker” hjælpe med i forhold til behavioral analysis?
Den kan hjælpe med at identificere og analysere skadelige processer, der kører på systemet.
Det kan afsløre mistænkelig adfærd, som f.eks. oprettelse af skjulte processer, manipulation af systemfiler eller uautoriseret netværksaktivitet, der kan være forbundet med malware.
Hvad kan værktøjet “Wireshark” hjælpe med i forhold til behavioral analysis?
Den kan bruges til at overvåge netværkskommunikationen mellem en inficeret maskine og eksterne servere eller andre enheder.
Det kan afsløre mistænkelig eller ondsindet aktivitet, som f.eks. transmission af følsomme oplysninger, kontrolkommandoer eller uventet datatrafik, der kan være relateret til malwareaktivitet.
Hvad kan værktøjet “Fakedns” hjælpe med i forhold til behavioral analysis?
Den kan være nyttigt til at afsløre skadelig adfærd, der involverer DNS-kommunikation.
Ved at videresende DNS-forespørgsler kan det afsløre forsøg på at omgå DNS-baserede sikkerhedsforanstaltninger, uautoriserede DNS-anmodninger eller kommunikation med kendte skadelige domæner.
Hvad kan værktøjet “INetSim” hjælpe med i forhold til behavioral analysis?
Den hjælper med at identificere og forstå, hvordan malware interagerer med forskellige netværksressourcer, herunder webservere, mailservere, DNS og andre protokoller.
Dette kan give indsigt i malwarens funktionalitet og adfærdsmønstre under forskellige scenarier.
