Statická analýza studuje artefakt bez jeho spuštění; dynamická analýza pozoruje spuštění v kontrolovaném prostředí. Analytici často kombinují automatizovanou triage, behaviorální pozorování, zkoumaní kódu a důkazy incidentu, protože každá metoda odhaluje jiná fakta.
Cíl určuje hloubku práce. Rychlá triage incidentu může hledat indikátory zadržení, zatímco hlubší analýza může vysvětlit perzistenci, komunikace, přístup k datům, vyhýbání se či rodokmen kódu. Závěry by měly rozlišovat pozorování, interpretace nástrojů a inference analytika.
Klíčové body
Statické důkazyHashe, formát souboru, řetězce, importy, vložený obsah, podpisy, stopy packingu a struktura kódu mohou vést k identifikaci bez spuštění vzorku.
Dynamické důkazyKontrolované pozorování může odhalit procesy, soubory, aktivitu paměti, změny konfigurace, pokusy o síťové spojení a chování, které statická inspekce minula.
Bezpečné nakládáníPoužívejte autorizované, izolované analytické prostředí s omezenou konektivitou, řízeným úložištěm a přenosem vzorků, snapshoty či přebudováním a dokumentovaným nakládáním s důkazy.
Důležité omezeníJedna metoda či jeden běh zřídka odhalí každou schopnost. Packing, šifrování, spící logika, požadované vstupy, kontroly prostředí, vyhýbání sandboxu, chyby nástrojů a destruktivní chování mohou výsledky skrýt či zkreslit; běh bez nálezů nedokazuje bezpečnost.