Analiza statyczna bada artefakt bez jego wykonywania; analiza dynamiczna obserwuje wykonanie w kontrolowanym środowisku. Analitycy często łączą zautomatyzowany triage, obserwację behawioralną, badanie kodu i dowody incydentowe, bo każda metoda ujawnia inne fakty.
Cel decyduje o głębokości pracy. Szybki triage incydentowy może szukać wskaźników ograniczania, a głębsza analiza może wyjaśniać utrwalenie, komunikację, dostęp do danych, unikanie wykrycia lub rodowód kodu. Wnioski powinny rozróżniać obserwacje, interpretacje narzędzi i inferencje analityka.
Najważniejsze punkty
Dowody statyczneHasze, format pliku, ciągi znaków, importy, osadzona zawartość, sygnatury, wskazówki pakowania i struktura kodu mogą prowadzić identyfikację bez uruchamiania próbki.
Dowody dynamiczneKontrolowana obserwacja może ujawnić procesy, pliki, aktywność pamięci, zmiany konfiguracji, próby sieciowe i zachowanie, którego inspekcja statyczna nie wychwyciła.
Bezpieczne postępowanieUżywaj autoryzowanego, izolowanego środowiska analitycznego z ograniczoną łącznością, kontrolowanym przechowywaniem i transferem próbek, migawkami lub odbudową oraz udokumentowanym postępowaniem z dowodami.
Istotne ograniczenieJedna metoda lub próba rzadko ujawnia każdą możliwość. Pakowanie, szyfrowanie, logika uśpiona, wymagane dane wejściowe, kontrole środowiskowe, unikanie sandboxa, błędy narzędzi i destrukcyjne zachowanie mogą ukrywać lub zniekształcać wyniki; spokojne uruchomienie nie dowodzi bezpieczeństwa.