การวิเคราะห์ทางนิติเวชของมัลแวร์และเครือข่าย: วิศวกรรมย้อนกลับเพื่อการป้องกัน

กำไร:

• ทำความเข้าใจเลเยอร์การวิเคราะห์แบบคงที่และไดนามิก และสามารถดำเนินการคัดแยกสตริง คำอธิบายประกอบสคริปต์ และการแยก IOC ด้วยปัญญาประดิษฐ์
• ความสามารถในการตั้งค่าสถานะรูปแบบ เช่น ความผิดปกติและบีคอนในการรับส่งข้อมูลเครือข่ายเทียบกับค่าพื้นฐาน และตรวจสอบ IOC แต่ละรายการ
• ความสามารถในการทำความเข้าใจว่าการวินิจฉัยมัลแวร์เป็นเพียงสมมติฐาน และข้อมูลนี้จะใช้เพื่อการป้องกันและการสอบสวนที่ได้รับอนุญาตเท่านั้น และไม่สามารถใช้สำหรับการเข้าถึงหรือการสร้างการโจมตีโดยไม่ได้รับอนุญาต

เหตุการณ์มักจะมีมัลแวร์เป็นศูนย์กลาง นั่นคือซอฟต์แวร์ที่ออกแบบมาเพื่อสร้างความเสียหายให้กับระบบ ขโมยข้อมูล หรือเข้าควบคุม “ไฟล์นี้ทำอะไร, มันเข้าสู่ระบบได้อย่างไร, มันขโมยอะไร, มันสื่อสารกับภายนอกที่ไหน?” คำตอบสำหรับคำถามเหล่านี้มีความสำคัญต่อการทำความเข้าใจเหตุการณ์และการนำเสนอต่อศาล ในทำนองเดียวกัน การพิสูจน์หลักฐานเครือข่าย—การติดตามเหตุการณ์จากบันทึกการรับส่งข้อมูลเครือข่าย—เผยให้เห็นการเข้าและออกของผู้โจมตี ในหน่วยนี้ เราจะกล่าวถึงวิธีที่ AI เป็นตัวเร่งในสองด้านนี้ และควรใช้เพื่อวัตถุประสงค์ในการป้องกัน การตรวจสอบ และการตรวจสอบที่ได้รับอนุญาตเท่านั้น

ชายแดนต้องมาก่อน: การใช้ในการป้องกัน

ประโยคที่สำคัญที่สุดของหน่วยนี้อยู่ที่ตอนต้น: ข้อมูลนี้มีไว้เพื่อวัตถุประสงค์ในการปกป้องระบบของคุณเอง การสืบสวนคดีโดยมีอำนาจ และการตรวจสอบหลักฐานเท่านั้น การใช้ AI เพื่อสร้างมัลแวร์ที่ทำงาน บุกรุกระบบของผู้อื่น หรือพัฒนาการโจมตีนั้นทั้งผิดกฎหมายและผิดจริยธรรม และอยู่นอกเหนือขอบเขตของโมดูลนี้ วิศวกรย้อนกลับของนักวิเคราะห์ทางนิติวิทยาศาสตร์เพื่อทำความเข้าใจและพิสูจน์สิ่งที่ผู้โจมตีทำ ไม่ต้องโจมตีซ้ำ

ข้อควรระวัง: การบอก AI ​​ว่า "เขียนมัลแวร์ที่ใช้งานได้" หรือ "ฉันจะเจาะเข้าสู่ระบบนี้ได้อย่างไร" ถือเป็นการใช้งานที่ไม่ได้รับอนุญาต การใช้งานที่ถูกต้อง: "อธิบายว่าอินสแตนซ์ที่พบนี้ทำอะไร", "การรับส่งข้อมูลนี้หมายถึงอะไรจากมุมมองของการป้องกัน", "ฉันจะตรวจสอบ IOC นี้ได้อย่างไร" เป้าหมายคือการป้องกันและหลักฐานเสมอ

การวิเคราะห์มัลแวร์สองชั้น

การวิเคราะห์มัลแวร์แบ่งออกเป็นสองส่วน การวิเคราะห์แบบคงที่ — ตรวจสอบโค้ดและโครงสร้างของโปรแกรมโดยไม่ต้องรัน: ประเภทไฟล์, สตริง — ข้อความที่อ่านได้ภายในไฟล์, URL ที่ฝังไว้ เรียกว่าฟังก์ชันของระบบ การวิเคราะห์แบบไดนามิก (การวิเคราะห์แบบไดนามิก — การรันโปรแกรมในสภาพแวดล้อมที่แยกออกมาและการสังเกตพฤติกรรมของมัน): โดยปกติจะดำเนินการในแซนด์บ็อกซ์ (แซนด์บ็อกซ์ — สภาพแวดล้อมที่ปลอดภัยที่แยกออกมาซึ่งมีการเรียกใช้มัลแวร์โดยไม่สร้างความเสียหายให้กับระบบจริง); โดยจะตรวจสอบว่าไฟล์ใดที่สร้าง รีจิสทรีคีย์ใดที่แตะ และตำแหน่งที่เชื่อมต่อ

AI มีส่วนช่วยอธิบายและจัดลำดับความสำคัญทั้งสองเลเยอร์:

• การทำเครื่องหมาย URL คำสั่ง และรูปแบบทางเทคนิคที่น่าสงสัยในไดเร็กทอรี (สตริง)
• อธิบายด้วยภาษาธรรมดาว่าสคริปต์หรือมาโครทำอะไร
• การสรุปบันทึกพฤติกรรมแซนด์บ็อกซ์และการแยก IOC (ตัวบ่งชี้ของการประนีประนอม: สัญญาณการตรวจจับ เช่น IP ที่เป็นอันตราย ชื่อโดเมน แฮชของไฟล์ รหัสการลงทะเบียน)
• โครงร่างของการแมปเทคนิคการโจมตีที่รู้จักกับเฟรมเวิร์ก (เช่น MITER ATT&CK — ฐานความรู้แบบเปิดที่แยกประเภทกลยุทธ์และเทคนิคการโจมตี)

แต่ละผลลัพธ์เป็นสมมติฐานที่ต้องตรวจสอบ การวินิจฉัยขั้นสุดท้ายทำได้โดยการพิสูจน์พฤติกรรมในแซนด์บ็อกซ์และในบันทึก

การวิเคราะห์ทางนิติเวชเครือข่ายและ AI

ในด้านเครือข่าย คุณมี PCAP (การจับแพ็คเก็ต — ไฟล์ที่การรับส่งข้อมูลเครือข่ายถูกบันทึกแพ็คเก็ตทีละแพ็คเก็ต), บันทึก NetFlow/เซสชัน (ผู้ที่พูดคุยกับใคร เมื่อใด เป็นเวลานานเท่าใด) และบันทึกพร็อกซี/DNS ข้อมูลนี้อาจมีขนาดใหญ่มาก เอไอ:

• แจ้งการเชื่อมต่อที่ผิดปกติ (ประเทศ ท่าเรือ ระยะเวลาที่ไม่คาดคิด)
• โดยจะตรวจจับและจัดลำดับความสำคัญของรูปแบบเป็นระยะ เช่น บีคอน (มัลแวร์ที่ส่งสัญญาณ "ฉันอยู่ที่นี่" ไปยังเซิร์ฟเวอร์คำสั่งตามช่วงเวลาปกติ)
• ทำเครื่องหมายรูปแบบชื่อโดเมนที่น่าสงสัย/ปลอมแปลง (ชื่อโดเมนที่สร้างด้วยอัลกอริทึม) ในบันทึก DNS
• โดยจะแปลงการรับส่งข้อมูลเป็นการบรรยายเหตุการณ์ที่เรียบง่ายและสร้างรายงานฉบับร่าง

เคล็ดลับ: เมื่อมี AI ​​วิเคราะห์การรับส่งข้อมูล ให้กำหนดพื้นฐานปกติ ซึ่งเป็นพฤติกรรมปกติของระบบ: "โดยปกติเซิร์ฟเวอร์นี้จะเชื่อมต่อกับประเทศต่อไปนี้บนพอร์ต 443 เท่านั้น" ความผิดปกติได้รับความหมายโดยสัมพันธ์กับภาวะปกติเท่านั้น หากไม่มีพื้นฐาน ทุกอย่างดูน่าสงสัยและผลบวกลวงจะระเบิด

เสี่ยงต่อการเกิดอาการประสาทหลอนและการวินิจฉัย

ในการวิเคราะห์มัลแวร์ อาการประสาทหลอนของ AI เป็นอันตรายอย่างยิ่ง: AI อาจ "เห็น" การเรียกใช้ฟังก์ชันที่ไม่มีอยู่ หรือตีความสตริงผิดและพูดว่า "นี่คือแรนซัมแวร์" อย่างไรก็ตาม การวินิจฉัยควรได้รับการสนับสนุนโดยการวิเคราะห์แบบไดนามิก (การดูพฤติกรรม) การตรวจสอบ IOC และลายเซ็นที่ทราบ หากเป็นไปได้ "AI กล่าวเช่นนั้น" ไม่เพียงพอที่จะวินิจฉัยตระกูลมัลแวร์ได้

มินิเคสสามอัน

กรณีที่ 1 — การวิเคราะห์ระดับมหภาคถูกเร่งขึ้น แมโคร VBA ในเอกสาร Office ที่ได้รับจากเหตุการณ์ฟิชชิ่งนั้นซับซ้อนและทำให้สับสน AI อธิบายขั้นตอนของมาโครในภาษาธรรมดา โดยจะถอดรหัสคำสั่ง PowerShell และดาวน์โหลดเพย์โหลดจากที่อยู่ระยะไกล นักวิเคราะห์ยืนยันสมมติฐานนี้ในแซนด์บ็อกซ์ ที่อยู่ที่ดาวน์โหลดถูกบล็อกในฐานะ IOC การวิเคราะห์ลดลงจาก 3 ชั่วโมงเหลือ 40 นาที

กรณีที่ 2 – บีคอนถูกจับได้ ในการบันทึก NetFlow เป็นเวลา 6 ชั่วโมง AI จะทำเครื่องหมายการเชื่อมต่อปกติขนาดเล็กกับ IP ภายนอกเดียวกันทุกๆ 300 วินาที นักวิเคราะห์ยืนยันว่ามันเป็นสัญญาณสั่งการและควบคุมและระบุเครื่องที่ถูกบุกรุก รูปแบบปกติทำให้ดวงตาของมนุษย์พลาดเส้นหลายล้านเส้น

กรณีที่ 3 — กลับมาจากการวินิจฉัยผิดพลาด AI ดูสตริงของตัวอย่างหนึ่งและติดแท็กว่าเป็น “ที่รู้จักกันดี X ransomware” นักวิเคราะห์ดำเนินการในแซนด์บ็อกซ์: ไม่มีพฤติกรรมการเข้ารหัส ตัวอย่างเป็นผู้ขโมยข้อมูลจริงๆ การตรวจสอบแบบไดนามิกช่วยป้องกันไม่ให้การระบุตัวตนของครอบครัวที่เป็นเท็จเข้าสู่รายงาน

เทมเพลตที่สามารถคัดลอกได้สี่แบบ

1) การคัดแยกสตริง:

บทบาทของคุณ: นักวิเคราะห์มัลแวร์เชิงป้องกัน ด้านล่างเป็นเชือกที่ดึงออกมาจากเครื่องแบบ ทำเครื่องหมาย URL, IP, เส้นทางไฟล์, คำสั่ง, รีจิสตรีคีย์ และตัวบ่งชี้ทางเทคนิคที่น่าสงสัย และเขียน JUSTIFICATION นี่คือสมมติฐาน ไม่ใช่การวินิจฉัย การสร้างรหัสการทำงาน ใส่ความคิดเห็นเฉพาะสตริงที่มีอยู่เท่านั้น

2) คำอธิบายสคริปต์/มาโคร:

อธิบายมาโคร/สคริปต์นี้ในเชิงป้องกัน: ทีละขั้นตอนว่ามันทำอะไร, มีการเข้าถึงไฟล์/เครือข่าย/บันทึกใดบ้าง, มีร่องรอยของการคงอยู่หรือการขโมยข้อมูลหรือไม่ เชื่อมโยงการยืนยันแต่ละรายการกับบรรทัดในโค้ด ทำให้โค้ดสามารถเรียกใช้งานได้หรือ "ปรับปรุง" แค่อธิบาย หากคุณไม่แน่ใจ ให้ทำเครื่องหมายเป็น "ยืนยันในแซนด์บ็อกซ์"

3) ข้อสรุปของ IOC:

ด้านล่างนี้คือบันทึกพฤติกรรมแซนด์บ็อกซ์ แยกผู้สมัคร IOC ที่สามารถตรวจสอบได้จากที่นี่: IP, ชื่อโดเมน, แฮชของไฟล์, รหัสการลงทะเบียน, ไฟล์ที่สร้างขึ้น เชื่อมโยง IOC แต่ละรายการกับบรรทัดในบันทึก ระบุว่าสิ่งเหล่านี้คือผู้สมัครสำหรับการตรวจจับ/การบล็อก และจำเป็นต้องมีการยืนยัน

4) การทำเครื่องหมายความผิดปกติของเครือข่าย:

ข้อมูลพื้นฐาน: โดยปกติเซิร์ฟเวอร์นี้จะพูดคุยกับ [ประเทศ/บริการ] จาก 443 เท่านั้น ฉันจะให้บันทึกเซสชันแก่คุณ ขึ้นอยู่กับสิ่งที่เกิดขึ้นจริงในการบันทึกเท่านั้น: ตั้งค่าสถานะปลายทางที่ไม่คาดคิด พอร์ต ระยะเวลา และรูปแบบตามระยะเวลา (บีคอน) แสดงแต่ละรายการด้วยบรรทัดที่สอดคล้องกัน อย่าอ้างเหตุผล; ความคิดเห็นจากมุมมองของการป้องกัน

พรอมต์อ่อน / พรอมต์แรง

พรอมต์ที่อ่อนแอ:

บอกฉันทีว่าไฟล์นี้เป็นไวรัสหรือไม่?

ไม่มีบริบท ไม่มีการตรวจสอบ AI สามารถดูสตริงและสร้างการวินิจฉัยที่แม่นยำแต่ไม่ถูกต้องได้

พรอมต์อันทรงพลัง:

บทบาทของคุณ: นักวิเคราะห์มัลแวร์เชิงป้องกัน ฉันจะยกตัวอย่างตัวบ่งชี้คงที่ (ประเภทไฟล์ สตริง หรือ API ที่เรียกว่า) และสรุปพฤติกรรมของแซนด์บ็อกซ์ งาน: แนะนำหมวดหมู่ที่เป็นไปได้ (เช่น ตัวดาวน์โหลด แฮ็กเกอร์ แรนซัมแวร์) ให้เป็นสมมติฐานตามพฤติกรรมที่สังเกตได้ เชื่อมโยงแต่ละสมมติฐานกับตัวบ่งชี้ที่เป็นรูปธรรม ให้การวินิจฉัยครอบครัวขั้นสุดท้าย แสดงรายการขั้นตอนการยืนยันแบบไดนามิก แสดงความคิดเห็นเชิงป้องกันเท่านั้น

การพึ่งพาการสังเกต “สมมติฐาน” ขั้นตอนการตรวจสอบ และข้อจำกัดในการป้องกัน ทำให้ผลลัพธ์ทั้งมีประโยชน์และมีจริยธรรม

ตารางเลเยอร์การวิเคราะห์

ชั้น

สิ่งที่เห็น

การมีส่วนร่วมของ AI

การตรวจสอบ

คงที่

สตริง โครงสร้าง API

เครื่องหมายบ่งชี้ที่น่าสงสัย

การตรวจสอบด้วยตนเอง

ไดนามิก

พฤติกรรมการทำงาน

สรุปบันทึก การอนุมานของ IOC

การสังเกตแซนด์บ็อกซ์

เครือข่าย (PCAP/โฟลว์)

รูปแบบการจราจร

ความผิดปกติ/เครื่องหมายบีคอน

การยืนยันพื้นฐาน

ความสัมพันธ์

หลายแหล่ง

โครงร่างการเล่าเรื่อง

ข้ามหลักฐาน

ข้อผิดพลาดทั่วไป

• สมมติว่าการวินิจฉัยแบบคงที่ถือเป็นที่สิ้นสุด การวินิจฉัยครอบครัวควรได้รับการยืนยันจากพฤติกรรมแบบไดนามิก
• ค้นหาความผิดปกติโดยไม่มีพื้นฐาน หากไม่นิยามคำว่าปกติ ทุกอย่างจะกลายเป็นผลบวกลวง
• การบล็อก IOC โดยไม่มีการตรวจสอบ IOC เท็จสกัดกั้นการรับส่งข้อมูลที่ถูกต้อง ยืนยัน.
• สร้าง/ร้องขอการโจมตีจาก AI การใช้งานโดยไม่ได้รับอนุญาต; การป้องกันและการตรวจสอบเท่านั้น
• ไล่ศัตรูพืชโดยไม่มีฉนวน การวิเคราะห์แบบไดนามิกจะดำเนินการในแซนด์บ็อกซ์แบบแยกเสมอ

โดยสรุป

การวิเคราะห์ทางนิติเวชของมัลแวร์และเครือข่ายเผยให้เห็นแก่นทางเทคนิคของเหตุการณ์ AI; มันเพิ่มความเร็วอย่างมากในการคัดแยกสตริง, คำอธิบายประกอบสคริปต์/มาโคร, การแยก IOC และการตั้งค่าสถานะความผิดปกติของเครือข่าย แต่การวินิจฉัยเป็นเพียงสมมติฐาน การวิเคราะห์แบบไดนามิก การตรวจวัดพื้นฐาน และการตรวจสอบ IOC เป็นงานของมนุษย์ และที่สำคัญที่สุด: ข้อมูลนี้มีไว้สำหรับการป้องกัน การตรวจสอบที่ได้รับอนุญาต และการตรวจสอบหลักฐานเท่านั้น ไม่เคยมีไว้เพื่อการเข้าถึงหรือการพัฒนาการโจมตีโดยไม่ได้รับอนุญาต

งานสมัคร

ตั้งค่าสถานการณ์จำลองคำอธิบายประกอบสคริปต์/มาโครในสภาพแวดล้อมที่ปลอดภัยและแยกออกจากกัน (หรือบนอินสแตนซ์จินตภาพ) ใช้เทมเพลต "คำอธิบายสคริปต์/มาโคร" และ "การอนุมาน IOC" เชื่อมต่อและตรวจสอบแต่ละ IOC ที่แยก AI ไปยังแหล่งที่มา จากนั้นลองค้นหารูปแบบบีคอนที่มีรูปแบบ "การทำเครื่องหมายความผิดปกติของเครือข่าย" ในบันทึกเซสชันตัวอย่าง และยืนยันด้วยข้อมูลพื้นฐาน

รายการตรวจสอบ

• [ ] ฉันทำการวิเคราะห์เพื่อวัตถุประสงค์ในการป้องกัน/ตรวจสอบที่ได้รับอนุญาตเท่านั้น
• [ ] ฉันถือว่าการวินิจฉัยเป็นเพียงสมมติฐานและยืนยันด้วยพฤติกรรมแบบไดนามิก
• [ ] ฉันใช้งานมัลแวร์เฉพาะในแซนด์บ็อกซ์ที่แยกออกมาเท่านั้น
• [ ] ฉันตีความความผิดปกติของเครือข่ายที่สัมพันธ์กับพื้นฐาน
• [ ] ฉันเชื่อมต่อ IOC แต่ละรายการกับต้นทางและยืนยันก่อนที่จะบล็อก