Не из нашей песочницы: Sandbox vs Malware Detonation Platform

Первое, что приходит на ум для поведенческого анализа, — взять подозрительный файл, принести его, скажем, на флешке на компьютер, который отключен от корпоративной сети, да и от интернета (на всякий случай), запустить его там и посмотреть, что будет.

Для этого были придуманы решения класса Sandbox — песочницы. Идея в том, чтобы потоково проверять объекты, поступающие в сеть извне. В первую очередь электронные письма и скачиваемые из интернета файлы. Песочницы бывают программными, то есть устанавливаемыми на компьютер пользователя, и сетевыми — аппаратными. Это отдельные сервера, которые на вход получают интернет- и почтовый трафик (как правило, копию трафика) и затем производят поведенческий анализ извлеченных из этого потока объектов.

Для этого анализа внутри песочницы работает ферма виртуальных машин — выделенных пространств, имитирующих компьютер пользователя с полноценным или урезанным Windows внутри или с другой операционной системой. На каждой виртуальной машине происходит анализ одного полученного объекта. Всеми машинами управляет специальный программный модуль — гипервизор. Он так взаимодействует с виртуальными машинами, что на лету может заглянуть внутрь и считать изменения в системе после запуска объекта.

Все эти изменения, поведенческие маркеры, попадают в другой программный модуль — классификатор. В нем содержатся правила, какие маркеры и их последовательности говорят о вредоносности объекта. Ближайшая аналогия — реалити-шоу «За стеклом» или любое аналогичное. Зритель (классификатор) следит за поведением (маркерами) участников шоу (объектов) и по их поведению определяет, кто из участников более токсичный и кого из шоу надо выгнать.

Маркеры в песочнице могут отражать такие изменения в работе системы, как созданные, удаленные или модифицированные файлы, попытки установки сетевых соединений, изменение записей реестра (настроек операционной системы и программ в ней), запуск и остановка программ, логин и выход пользователей и многое другое.

Классификатор должен получать регулярные обновления правил.

Также внутри песочницы, как правило, есть статический анализ на основе антивируса.

Выбирать их нужно с учетом этих особенностей. А вообще стоит задуматься, нужно ли такое решение вашей организации и есть ли квалифицированный персонал, способный с ним работать. Может быть, в случае расследования стоит довериться профессионалам — компаниям, которые этим профильно занимаются. У некоторых есть даже услуги подписки на криминалистику и реагирование на инциденты. Это недорого, а результат может быть выше, чем от своих криминалистов.

Malware Detonation Platform стала логичным развитием песочниц. В принципе продукты этого класса можно с небольшой натяжкой назвать Next Generation Sandbox, или Sandbox 2.0. Главное их отличие — детонация.

Что это такое? Очень часто, когда речь идет о сложной целевой атаке со злыми троянами, недостаточно анализировать один объект. Попав на компьютер пользователя, такое вредоносное ПО связывается с серверами злоумышленников, зачастую используя нетипичные сетевые протоколы и маскируя свою коммуникацию, а затем загружает с этих серверов дополнительные компоненты атаки. Затем эти компоненты устанавливаются на компьютер пользователя, и создаются отложенные задачи на их запуск через месяц, или через десять перезагрузок ПК, или еще когда-нибудь.

Хорошая MDP умеет определять, какого сценария ожидает целевая атака, и подстраивает среду операционной системы внутри виртуальной машины под ожидаемые условия — тем самым «заставляет атаку сдетонировать». В итоге за время стандартного поведенческого анализа удается «отсмотреть» атаку, которая может развиваться на обычном компьютере пользователя месяцами.

Такие средства в обязательном порядке должны реализовать продвинутые техники по имитации пользовательской среды, выявлению скрытой полезной нагрузки и выдавать наивысшее качество детектирования вредоносных файлов. Для этого зачастую используются сильно кастомизированные образы операционных систем, поэтому Golden Image чаще всего недоступен.

Разные вендоры используют разный подход для реализации детонации. Для примера рассмотрим решение Group-IB Threat Hunting Framework.

Несмотря на то, что MDP — тоже потоковое средство, оно, как правило, дороже, поскольку сложнее и требует больших ресурсных мощностей, чем стандартная песочница. Это плата за качество детектирования и подробность отчетов, которые, в свою очередь, вплотную приближаются к уровню Forensic-Sandbox, но более понятны и автоматизированы. Итак, выводы?