Malware na nyocha nyocha nke nyocha nke netwọk: Ntugharị Injinia maka nchekwa

Uru:

• Ghọta ọkwa nyocha kwụ ọtọ na ike siri ike wee nwee ike iji ọgụgụ isi rụọ ọrụ eriri, nkọwa edemede na mmịpụta IOC.
• Ikike ọkọlọtọ ọkọlọtọ dị ka anomalies na mgbake na okporo ụzọ netwọk megide ndabere wee nyochaa IOC ọ bụla.
• Ikike ịghọta na nchoputa malware bụ echiche na a ga-eji ozi a naanị maka nchekwa na nyocha ikike na enweghị ike iji ya maka ịnweta ikike ma ọ bụ ọgụ ọgbọ.

Ihe omume na-enwekarị malware n'etiti ya - ngwanrọ emebere iji mebie sistemu, zuru data, ma ọ bụ weghara njikwa. "Gịnị ka faịlụ a na-eme, olee otú o si banye na usoro ahụ, gịnị ka o zuru ohi, ebee ka ọ na-ekwurịta okwu n'èzí?" Azịza nye ajụjụ ndị a dị oke mkpa maka ịghọta ihe merenụ na iwepụta ya n'ụlọ ikpe. N'otu aka ahụ, forensics netwọk-ịchọ ihe omume sitere na ndekọ okporo ụzọ netwọk - na-ekpughe ntinye na ọpụpụ onye mwakpo ahụ. N'ime nkeji a, anyị ga-ekpuchi ka AI si bụrụ onye na-eme ngwa ngwa na mpaghara abụọ a ma ekwesịrị iji ya naanị maka nchekwa, nkwenye na ebumnuche nyocha ikike.

Oke mbụ: iji chebe onwe ya

Ahịrịokwu kachasị mkpa nke ngalaba a bụ na mbido: Ozi a bụ maka naanị ebumnuche ịgbachitere sistemu nke gị, nyocha ikpe nwere ikike, yana ịchọpụta ihe akaebe. Iji AI iji mepụta malware na-arụ ọrụ, ịbanye n'ime sistemụ onye ọzọ, ma ọ bụ mepụta ọgụ bụ nke iwu na-akwadoghị na enweghị ụkpụrụ yana gafere oke modul a. The forensic Analyst reverse-engineers ịghọta ma gosi ihe onye mwakpo ahụ mere; ghara ikwughachi mbuso agha.

Kpachara anya: Ịgwa AI "dee m malware na-arụ ọrụ" ma ọ bụ "kedu ka m ga-esi banye na sistemụ a" bụ ojiji na-akwadoghị. Ojiji ziri ezi: "kọwaa ihe ihe atụ a chọtara na-eme", "kedu ihe okporo ụzọ a pụtara site na nchekwa nchekwa", "kedu ka m ga-esi chọpụta IOC a". Ebumnuche bụ mgbe niile agbachitere na ihe akaebe.

Igwe nyocha malware abụọ

A na-ekewa nyocha malware ụzọ abụọ. Static analysis — inyocha koodu na Ọdịdị nke mmemme na-enweghị na-agba ọsọ ya: faịlụ ụdị, urụk —-agụ ederede n'ime faịlụ, agbakwunyere URLs, na-akpọ usoro ọrụ. Nyocha dị omimi (nyocha ike - na-agba ọsọ mmemme ahụ na gburugburu ebe dịpụrụ adịpụ na ilele omume ya): a na-emekarị ya na igbe ájá (boxbox - ebe nchekwa dịpụrụ adịpụ ebe malware na-agba ọsọ n'emebighị usoro ahụ n'ezie); Ọ na-enyocha faịlụ ndị ọ na-emepụta, igodo ndekọ ọ na-emetụ, na ebe ọ na-ejikọta.

AI na-enye nkọwa na ntinye aha na ọkwa abụọ a:

• Ịka akara URL enyo enyo, iwu na usoro nka na akwụkwọ ndekọ aha (ụdọ).
• Na-akọwa n'asụsụ dị larịị ihe edemede ma ọ bụ nnukwu na-eme.
• Na-achịkọta ndekọ omume igbe igbe na iwepụta IOC (Ihe ngosi nke nkwekọrịta: akara nchọpụta dị ka IP ọjọọ, aha ngalaba, hash faịlụ, igodo ndebanye).
• Ndepụta nke maapụ usoro ọgụ ama ama na usoro (dịka, MITER ATT&CK — ntọala ihe ọmụma mepere emepe nke na-ekewa ụzọ ọgụ na usoro ọgụ).

Ihe mmepụta ọ bụla bụ echiche a ga-enyocha; A na-eme nchọpụta nke ọma site n'igosipụta omume na igbe ájá na n'ime ndekọ.

Nyocha gbasara nyocha netwọkụ na AI

N'akụkụ netwọk, ị nwere PCAP (ngwungwu njide - faịlụ ebe a na-edekọ okporo ụzọ netwọk site na ngwugwu), ndekọ NetFlow / nnọkọ (onye gwara onye, ​​mgbe, maka oge ole) na ndekọ proxy/DNS. Data a nwere ike ibu ibu. AI:

• Ọkọlọtọ njikọ pụrụ iche (obodo a na-atụghị anya ya, ọdụ ụgbọ mmiri, ogologo oge).
• Ọ na-achọpụta ma na-ebute ụzọ n'ụdị oge dị ka ịgbanye ọkụ ( malware na-eziga akara "Anọ m ebe a" na nkesa iwu n'oge oge niile).
• Ọkọlọtọ na-enyo enyo/ụdị ngalaba aha emepụtara (aha ngalaba aha algorithm) na ndekọ DNS.
• Ọ na-agbanwe okporo ụzọ ka ọ bụrụ akụkọ mmemme dị mfe ma na-emepụta akụkọ ederede.

NDỤMỌDỤ: Mgbe ị na-enyocha okporo ụzọ AI, kọwaa usoro ntọala nkịtị - omume nke sistemu na-emebu: "Ihe nkesa a na-ejikọ naanị na mba ndị a na ọdụ ụgbọ mmiri 443." Anomaly na-enweta ihe ọ pụtara n'ihe gbasara nkịtị; Na-enweghị ntọala ihe niile na-ele anya na-enyo enyo na ihe ndị na-ezighị ezi na-agbawa.

Ihe ize ndụ nke ịhụ anya na nchọpụta

Na nyocha malware, AI ịhụ n'anya dị ize ndụ karịsịa: AI nwere ike "hụ" oku ọrụ na-adịghị, ma ọ bụ kọwaa eriri na-ezighị ezi wee kwuo "nke a bụ ihe mgbapụta." Otú ọ dị, ekwesịrị ịkwado nchọpụta nyocha site na nyocha dị ike (ịhụ omume), nkwenye nke IOC, na mbinye aka ama ama ma ọ bụrụ na ọ ga-ekwe omume. "AI kwuru otú ahụ" ezughị iji chọpụta ezinụlọ malware.

Obere ikpe atọ

Ikpe 1 - Nnukwu nyocha ngwa ngwa. Macro VBA dị na akwụkwọ Office enwetara n'ime ihe omume phishing dị mgbagwoju anya ma kpuchie ya. AI kọwara usoro nke nnukwu macro n'asụsụ dị larịị: ọ depụtara iwu PowerShell wee budata ụgwọ a na-akwụ na adreesị dịpụrụ adịpụ. Onye nyocha ahụ kwadoro echiche a na igbe ájá; Akpọchiri adreesị ebudatara dị ka IOC. Nyocha gbadara site na awa 3 ruo nkeji iri anọ.

Ikpe 2 - E weghaara ihe ọkụ ọkụ. N'ime ndekọ NetFlow nke awa 6, AI gosipụtara obere, njikọ oge niile na otu IP mpụga kwa sekọnd 300 ọ bụla. Onye nyocha ahụ gosipụtara na ọ bụ mgbama iwu na njikwa wee chọpụta igwe mebiri emebi. Usoro a na-eme mgbe niile bụ na anya mmadụ ga-atụfu ọtụtụ nde ahịrị.

Ikpe 3 - Lọghachite site na nchọpụta misdiagnosis. AI lere anya na eriri nke otu nlele wee kpado ya dị ka “a maara X ransomware.” Onye nyocha ahụ gbara ya na igbe ájá: ọ nweghị omume nzuzo, ihe nlele ahụ bụ n'ezie infostealer. Nyocha dị omimi gbochiri njirimara ezinụlọ ụgha ịbanye na akụkọ ahụ.

Ndebiri anọ enwere ike iṅomi

1) Nhọrọ nke eriri:

Ọrụ gị: onye nyocha malware nchekwa. N'okpuru ebe a bụ eriri ewepụtara na uwe. Kaa akara URL ndị enyo enyo, IP, ụzọ faịlụ, iwu, igodo ndekọ na ihe ngosi nka wee dee EZIOKWU. Nke a bụ echiche; ọ bụghị diagnostic. Ịmepụta koodu ọrụ; naanị ikwupụta ụdọ dị adị.

2) Nkọwa Script/Macro:

Kọwaa macro / script a na-agbachitere: nzọụkwụ site nzọụkwụ ihe ọ na-eme, kedu faịlụ / netwọk / ndekọ ohere ọ nwere, enwere akara ọ bụla nke nnọgidesi ike ma ọ bụ mpụ data? Jikọọ nkwenye ọ bụla na ahịrị dị na koodu. Ime ka koodu ahụ rụọ ọrụ ma ọ bụ "ịkwalite" ya; naanị kọwaa. Ọ bụrụ na ịmaghị n'aka, kaa ya akara dị ka "nyochaa n'ime igbe ájá".

3) Nkwubi okwu IOC:

N'okpuru ebe a bụ ndekọ omume akparamagwa. Wepụ ndị anamachọihe IOC nwere ike ịnwapụta site na ebe a: IP, aha ngalaba, hash faịlụ, igodo ndebanye aha, faịlụ emepụtara. Jikọọ IOC ọ bụla na ahịrị dị na log. Kwupụta na ndị a bụ NDỊ NSỌ NSỌ maka nchọpụta/mgbochi na nkwenye dị mkpa.

4) Akara anomaly netwọk:

Baseline: ihe nkesa a na-ejikarị na-agwa [mba / ọrụ] site na 443. M ga-enye gị ndekọ ndekọ oge. Dabere naanị na ihe na-eme n'ezie na ndekọ ahụ: ọkọlọtọ ebe a na-atụghị anya ya, ọdụ ụgbọ mmiri, ogologo oge, na ụkpụrụ oge (mgbama ọkụ); Gosi nke ọ bụla nwere ahịrị kwekọrọ. Akwụsịla ihe kpatara ya; Kwuo okwu site n'echiche nchekwa.

Ngwa ngwa adịghị ike / Ike siri ike

Ngwa ngwa adịghị ike:

Gwa m, faịlụ a ọ bụ nje?

Enweghị ọnọdụ, enweghị nkwenye; AI nwere ike ilele eriri ahụ wee wepụta nchoputa ziri ezi mana ezighi ezi.

Mgbasa ozi siri ike:

Ọrụ gị: onye nyocha malware nchekwa. Aga m enye gị ihe atụ static (ụdị faịlụ, eriri, API ndị a na-akpọ) yana nchịkọta omume igbe ájá. Ọrụ: na-atụ aro ụdị nwere ike (dịka nbudata, hacker, ransomware) dị ka HYPOTHESIS dabere na omume hụrụ; Jikọọ echiche ọ bụla na ihe ngosi pụtara ìhè. Inye nchoputa nke ezinulo; Depụta usoro nkwenye siri ike. Kwuo okwu naanị na-agbachitere.

Ịdabere na nleba anya, "echiche," nzọụkwụ nkwenye, na mgbochi nchebe na-eme ka mmepụta ahụ bụrụ ihe bara uru na ụkpụrụ.

Tebụl nyocha n'ígwé

oyi akwa

ihe na-ahụ

Ntinye aka AI

nkwenye

static

Ụdọ, nhazi, API

Ngosipụta enyo enyo

akwụkwọ ntuziaka

Dị ike

omume ọrụ

Nchịkọta ndekọ, ntụnye IOC

nlele sandbox

Netwọk (PCAP/flow)

usoro okporo ụzọ

Anomaly/akara mgbama

Nkwenye ntọala

mmekorita

multi isi iyi

nchịkọta akụkọ

obe akaebe

Mmejọ ndị nkịtị

• Na-eche na nchoputa static bụ nke doro anya. Ekwesịrị ịkwado nchọpụta ezinụlọ site na omume dị ike.
• Na-achọ anomalies na-enweghị ihe ndabere. Na-akọwaghị nkịtị ihe niile na-aghọ ụgha nti.
• Na-egbochi IOC na-enweghị nkwenye. IOC ụgha na-egbochi okporo ụzọ ziri ezi; gosi.
• Na-emepụta / ịrịọ ọgụ sitere na AI. Ejighị ikike; naanị agbachitere na nkwenye.
• Na-agba ọsọ pesti na-enweghị mkpuchi. A na-eme nyocha dị omimi mgbe niile n'ime igbe ájá dịpụrụ adịpụ.

Na nchịkọta

Malware na nyocha nyocha nke netwọk na-ekpughe isi ọrụ aka nke ihe merenụ. AI; Ọ na-eme ngwa ngwa nke ukwuu eriri eriri, script/macro annotation, IOC mmịpụta, na netwọk anomaly flagging. Ma nchoputa bụ echiche; nyocha ike, ntọala na nkwenye IOC bụ ọrụ mmadụ. Na nke kachasị mkpa: ozi a bụ maka nchekwa, nyocha ikike, na nkwenye naanị - ọ dịghị maka ịnweta ikike ma ọ bụ mbuso agha.

Ọrụ ngwa

Tọọ ọnọdụ nkọwa edemede/macro na ebe nchekwa dịpụrụ adịpụ (ma ọ bụ n'ụdị atụ). Tinye nkọwa "script/macro" na ndebiri "IOC"; Jikọọ ma nyochaa IOC ọ bụla AI na-ewepụta na isi iyi. Mgbe ahụ gbalịa ịchọta ụkpụrụ mgbama nwere ụkpụrụ "Network anomaly marking" n'ime ndekọ oge nlele wee jiri usoro ntọala kwadoro.

ndetu

• [] Emere m nyocha ahụ maka ebumnuche nchekwa / ikike nyocha naanị.
• [ ] M na-emeso nchoputa ahụ dị ka nkwupụta ma kwado ya na omume dị ike.
• [ ] Naanị m na-agba malware n'ime igbe ájá dịpụrụ adịpụ.
• [ ] A kọwapụtara m nsogbu netwọkụ ahụ metụtara ntọala ntọala.
• [] Ejikọtara m IOC ọ bụla na isi iyi wee kwenye tupu igbochi ya.