Analiza statică studiază un artefact fără a-l executa; analiza dinamică observă execuția într-un mediu controlat. Analiștii combină adesea trierea automată, observarea comportamentală, examinarea codului și dovezile de incident pentru că fiecare metodă dezvăluie fapte diferite.
Scopul determină profunzimea activității. Trierea rapidă de incident poate căuta indicatori de izolare, în timp ce analiza mai profundă poate explica persistența, comunicațiile, accesul la date, evaziunea sau linia de cod. Concluziile ar trebui să distingă observațiile, interpretările instrumentelor și inferențele analistului.
Puncte esențiale
Dovezi staticeHash-uri, formatul fișierului, șiruri de caractere, importuri, conținut încorporat, semnături, indicii de împachetare și structura codului pot ghida identificarea fără a rula eșantionul.
Dovezi dinamiceObservarea controlată poate revela procese, fișiere, activitate în memorie, modificări de configurație, încercări de rețea și comportament pe care inspecția statică l-a ratat.
Tratare sigurăFolosiți un mediu de analiză autorizat și izolat, cu conectivitate restricționată, stocare și transfer controlate ale eșantioanelor, instantanee sau reconstruire și tratare documentată a dovezilor.
Limitare importantăO singură metodă sau rulare rareori dezvăluie fiecare capabilitate. Împachetarea, criptarea, logica dormantă, intrările necesare, verificările de mediu, evaziunea sandbox, erorile de instrumente și comportamentul distructiv pot ascunde sau denatura rezultatele; o rulare fără evenimente nu dovedește siguranța.