1
• На хабре опубликовали хорошу статью по созданию лаборатории для исследования малвари, инструментов и процедур (PoC) в виртуальной среде для Linux-платформ.
• Материал пригодиться для понимания работы ВПО, написания митигации и детекции против них, а так же поиска паттернов в вашей инфраструктуре! На выходе мы получим список из артефактов, которые сможем использовать в работе.
• Ожидается, что мы сможем дампить сетевой трафик, а так же рассматривать открытый и закрытый исходный код сэмпла в поисках подозрительных паттернов.
• Преимущества такой лаборатории следующие:
➡Существует мало современных SandBox решений, которые могут предоставить детализированный сырой лог сетевой и системной активности для Linux-платформ;
➡Обычно SandBox очень легко обходят, уводя в сон вредонос, проверяя локации, раскладки и прочие атрибуты. В данном решении вы сможете увидеть, спит ли сэмпл, а так же использовать свои ресурсы, чтобы увеличить время трассировки в отличии от стандартных 500 секунд песка.
➡User execution очень органичен в стандартных решениях, необходимо использовать скрипты для выполнения дополнительных задач. В данном, ваша лаба полностью управляема вами.
➡Возможность имитировать ифнраструктуру вокруг сэмпла, часто может пригодиться для исследования инструментов.
• Все круто, но не без недостатков:
➡Остается возможность прикрутить движки для вывода вердиктов, но лаба предназначена для ручного анализа;
➡Нужна другая архитектура для тестирования атак на пространство ядра, так как здесь ядро ОС общее;
➡Использование собственных ресурсов, вместо сервисных;
• Архитектура представляет контур в рамках узла, где основные инструменты исследования будут развернуты в качестве драйвера pcap, бинарного файла strings, механизма eBPF и нормализатора на Python, а сэмпл будет воспроизводиться в контейнере.
• Для изоляции двух сред будем использовать возможности Podman, который создаст нам виртуальное пространство с новыми namespace. Они должны ограничить возможность коммуникации, с другими обьектами. Seccomp запретит заражение пространства ядра, ограничив bpf, pivot_root, unshare, setns. Чтобы процесс не мог выйти из своего namespace или создать новый. Сgroup позволит выдать нужное количество ресурсов, а iptables разграничит по сети.
➡ Читать статью [15 min].
#Malware #SOC #Песочница