Dinamik zararlı analizi, bir örneği izole bir ortamda çalıştırarak davranışını gözlemleme yöntemidir. Dosya oluşturma, kayıt defteri değişikliği, süreç başlatma ve ağ bağlantısı gibi işlemler kaydedilir. Bu kayıtlar, örneğin ne yaptığını doğrudan gösterir. Kod okumaya gerek kalmadan davranış bilgisi elde edilir. Bu hız, yöntemin en büyük avantajıdır.

Yöntem, paketlenmiş ve karartılmış örneklerde özellikle değerlidir. Kod çalıştığında gizleme kendiliğinden çözülür ve asıl davranış görünür hâle gelir. Statik analizin başarısız olduğu durumlarda bu yöntem sonuç verir. İki yöntem bu nedenle birbirini tamamlar. Standart akış statikle başlayıp dinamikle sürer.

Dinamik Zararlı Analizi Nedir?

Dinamik zararlı analizi, örneği kontrollü ve izole bir ortamda çalıştırarak sistem ve ağ üzerindeki davranışlarını kaydetme ve yorumlama yöntemidir.

Analiz sırasında sistem çağrıları, dosya işlemleri ve ağ trafiği eş zamanlı kaydedilir. Bu kayıtlar sonradan bir zaman çizelgesi üzerinde incelenir. Böylece davranış sırası ortaya çıkar. Zaman çizelgesi analizi bu incelemeyi kolaylaştırır. Sıra bilgisi yorum için gereklidir.

Ortam Kurulumu

Ortamın üretim ağından tamamen izole olması zorunludur. Sanal makine anlık görüntüleri, her analiz sonrası temiz duruma dönmeyi sağlar. Ağ erişimi kontrollü verilir; bazı analizlerde sahte bir ağ hizmeti kullanılır. Bu yapı, örneğin dış dünyaya gerçek zarar vermesini engeller. Kurulum bir kereye mahsustur.

Ortamın gerçekçi görünmesi de gerekir. Kullanıcı dosyaları, tarayıcı geçmişi ve makul kaynak miktarı bu gerçekçiliği sağlar. Varsayılan sanal makine yapılandırmaları zararlı yazılımlar tarafından tanınır. Tanındığında örnek zararsız davranır. Analiz sonuçsuz kalır.

• Üretim ağından tam izolasyon
• Anlık görüntüyle hızlı temiz duruma dönüş
• Süreç, dosya ve kayıt defteri izleme araçları
• Ağ trafiği yakalama ve sahte hizmet sunucuları
• Gerçekçi kullanıcı verisi ve kaynak tanımı

Sınırları

En büyük sınır, ortam kontrolleridir. Analiz ortamını tespit eden bir örnek hiç çalışmaz ya da zararsız davranır. Bu durumda dinamik analiz sonuç vermez. Gerçekçi ortam kurulumu bu riski azaltır. Yine de tamamen ortadan kaldırmaz.

İkinci sınır, yalnızca çalıştırılan kod yollarının görülmesidir. Belirli bir koşulda devreye giren kod, o koşul oluşmadıkça görünmez. Bu nedenle statik analiz tamamlayıcı olarak gerekir. İki yöntem birlikte tam kapsama sağlar. Tek yöntem eksik kalır.

Üçüncü sınır, analiz süresidir. Gecikmeli çalışan örnekler, kısa analiz pencerelerinde davranış göstermez. Süre uzatılabilir ama maliyet artar. Otomatik kum havuzları bu dengeyi ayarlar. Kum havuzu yapılandırması bu ayarı içerir.

Hangi Davranışlar Kaydedilir?

Analiz sırasında kaydedilmesi gereken davranışlar önceden belirlenir. Süreç oluşturma ve sonlandırma, dosya oluşturma ve silme, kayıt defteri değişiklikleri, ağ bağlantıları ve bellek ayırma işlemleri temel kalemlerdir. Bu kayıtlar birlikte değerlendirildiğinde davranış profili çıkar. Eksik kalem, eksik profil demektir. Kontrol listesi kullanılır.

Ağ trafiğinin tam olarak yakalanması özellikle değerlidir. Komuta altyapısı adresleri, kullanılan protokol ve iletişim örüntüsü bu kayıttan çıkarılır. Komuta kontrol tespiti için bu bilgi gereklidir. Şifreli trafikte üst veriler yine değerlidir. Bağlantı örüntüsü analiz edilir.

Bellek görüntüsünün alınması da tavsiye edilir. Paketlenmiş örneklerde asıl kod ancak bellekte görünür. Görüntü, analizin ikinci aşamasında kullanılır. Alınma anı önemlidir. Otomatik araçlar bu anı yakalayabilir.

Otomatik Kum Havuzları

Ticari ve açık kaynak kum havuzu çözümleri, bu analizi otomatik yapar. Dosya yüklenir, çalıştırılır ve rapor üretilir. Bu otomasyon, yüksek hacimli incelemeleri mümkün kılar. Rapor kalitesi çözüme göre değişir. Değerlendirme yapılmalıdır.

Otomatik çözümlerin sınırı, kaçınma teknikleridir. Standart yapılandırmalar kolayca tanınır ve örnek zararsız davranır. Bu nedenle ortam özelleştirmesi önemlidir. Bazı çözümler bu özelleştirmeyi destekler. Yapılandırma incelenmelidir.

Ayrıca otomatik raporların insan tarafından yorumlanması gerekir. Rapor ham davranış listesi sunar; anlam çıkarmak analistin işidir. Otomasyon, analisti değil tekrarlayan işi ortadan kaldırır. Bu ayrım beklenti yönetimi için önemlidir. Yanlış beklenti hayal kırıklığı üretir.

Privia Security olarak olay incelemelerinde dinamik analiz sonuçlarını tespit kurallarına dönüştürüyor, olay inceleme ve olay müdahalesi kapsamında raporluyoruz.