大容量機能とマルウェア構成抽出機能を備えたマルウェア分析サンドボックス。 Threat Intelligenceによって分析が自動的に強化されるため、脅威を迅速に検出して対処できます。
- 安全でカスタマイズ可能な環境でマルウェアを迅速に分析
- より大きく、より速く、よりカスタマイズ可能
- 収集、IOC、コンテキストを強化し、 Intelligence Graphによって作成されたモジュールとキュレーションされたインテリジェンスの機能を充実させます。
概要
- 既存のマルウェア分析より3倍高速
- Windows、Linux、Android、macOS のファイル、URL、コード分析
- 大容量ファイルとアーカイブの分析をサポート
- ネットワークシミュレーションオプション
- 大規模な送信を自動化するための API アクセス
技術的特徴
- 350以上の一般的な家族の分類
- カスタム x86 静的エミュレーション
- TLS/SSL復号化
- PCAP、ドロップされたファイル、メモリダンプへのアクセス
- ユーザーが送信したYARAルールのサポート
- ライブVMインタラクション
Recorded Futureサンドボックスポータル
以下に示すように、トップメニューから Recorded Future Sandbox にアクセスできます。
分析レポート
以前の分析タスクに関連付けられたすべてのレポートは、「レポート」セクションにアクセスすると一覧表示されます。
レポート セクションにアクセスすると、次のオプションが表示されます。
- マイサンプル - 現在のユーザーが送信したすべてのサンプルのリスト
- 組織サンプル - 組織のユーザーが提出したすべてのサンプルのリスト
- 検索 - ハッシュ、マルウェア ファミリ、タグ、URL、ウォレット、電子メールに基づいて、演算子 (AND、OR、NOT) を使用して検索機能を有効にします。詳細は検索専用セクションをご覧ください
いずれかのレポートを選択すると、レポートの「 Overview 」ページにリダイレクトされ、分析に含まれていた静的レポートまたは動的/動作レポートにアクセスするためのタブが表示されます。
レポートの概要
すべての分析レポートには概要セクションが含まれており、「 Overview 」タブエントリからアクセスできます。
分析レポートのOverviewセクションには、次のセクションがあります。
一般的な
送信されたファイルのファイル サイズ、サンプル ID (サンプル レポートを識別し、プラットフォームで検索するために使用できます)、およびさまざまな種類のハッシュ (MD5、SHA1、SHA256、SHA512) のリストが含まれます。
一般セクションでは、 分析結果と判定に基づいて、 サンプルに関連付けられた スコア と各種 タグも 表示されます。Recorded Future Sandboxは約350種類のマルウェアファミリーを認識し、識別時にタグが割り当てられます。
マルウェア設定
Recorded Future Sandbox は、150 種類のマルウェア ファミリについて、レポートのこのセクションに示されている完全な構成を抽出できます。
この機能に基づいて、このセクションでは、提出物で複数のファミリが識別された場合など、マルウェア構成で見つかったいくつかの要素を示します。これらの要素の例は次のとおりです。
- ランサムウェアのメモ、暗号化されたファイル拡張子などの属性
- コマンドとコントロール
- ボットネットID
- マルウェアのバージョン
- 公開鍵
- その他のID
ターゲット
このセクションでは、 Overviewレポートに、サンプル (さまざまなハッシュとサイズによって識別) ごとに、サンプルの動作と一致し、判定とスコアリングに寄与した判定とシグネチャが表示されます。 各シグネチャには、検知（例：トロイの木馬、レッドライン）または実行されるアクティビティの種類（例：収集、検出）に関連するタグが付けられています。
MITRE ATT&CKマトリックス
このセクションでは、MITRE ATT&CK フレームワークに基づいて、すべてのTTPsとそれに関連する戦術を示します。 各TTPsクリックすると、MITRE Web サイトの説明に移動できます。
タスク
このセクションでは、サンプルに対して実行されたすべてのタスクを示します。これらは、静的または動作分析タスクになります。各タスクは、それぞれで識別されたタグとしてスコアと判定とともに表示されます。いずれかのエントリをクリックすると、ユーザーは対応する各レポートにピボットできるようになります。
サイドメニュー
サイド メニューのOverviewレポートでは、ユーザーは次のことができます。
- サンプルを再提出して別の分析を行う
- サンプルをダウンロードする（同じ組織内でのみ利用可能）
- フィードバックを提供する
- 分析を削除する
静的解析レポート
提出されたすべてのサンプルに対して静的分析が実行され、静的分析レポートが提供されます。静的分析レポートにアクセスするには、分析レポートから専用の「静的」タブをクリックする必要があります。
静的分析レポートには、次のセクションがあります。
一般的な
サンプルのSHA256ハッシュ、ファイルのサイズ、静的解析スコアを表示します。
マルウェア設定
非常に稀ですが、静的分析によって直接入手できる場合は、マルウェアの構成の詳細を表示します。
署名
サンプルの静的分析中に一致したすべてのシグネチャを表示します
ファイル
静的分析の一部であったすべてのファイルを、関連するタイプ、オペレーティング システム、およびアーキテクチャ タイプとともに一覧表示します。
サイドメニュー
サイド メニューのOverviewレポートでは、ユーザーは次のことができます。
- サンプルを再提出して別の分析を行う
- サンプルをダウンロードする（同じ組織内でのみ利用可能）
- フィードバックを提供する
- 分析を削除する
動的/行動分析レポート
サンプルが動的/動作分析のために送信された場合、関連するレポートが生成され、サンプルで使用できるようになります。選択された送信者または自動送信プロセスによって、サンプルを分析する必要がある複数のオペレーティング システムが特定された場合、複数のレポートが利用可能になります。
動的レポートのレポート タブには、複数のセクションが表示されます。
一般的な
送信されたファイルのファイル サイズ、サンプル ID (サンプル レポートを識別し、プラットフォームで検索するために使用できます)、およびさまざまな種類のハッシュ (MD5、SHA1、SHA256、SHA512) のリストが含まれます。
一般セクションでは、Recorded Future 動的分析の結果と判定に基づいて 、サンプルに関連付けられた スコア と各種 タグも 表示されます 。Recorded Sandboxは約350種類のマルウェアファミリーを認識し、識別時にタグが割り当てられます。
マルウェア設定
動的解析によって、このセクションで提示される構成の識別と抽出が可能になった場合
署名
このセクションでは、動的分析レポートに、サンプルの動作に一致した判定とシグネチャが、最終的な判定とスコアリングに寄与する関連スコアとともに表示されます。各シグネチャには、検知（例：トロイの木馬、レッドライン）または実行されるアクティビティの種類（例：収集、検出）に関連するタグが付けられています。
プロセス
ある程度のリスクがあるとして特定されたプロセスのリストと、分析の全体スコアに集計されるローカル スコアを表示します。
ネットワーク
このセクションでは、動的分析中に行われたすべてのドメイン要求とすべての TCP および UDP 接続が表示され、関連する国の分布が世界地図上にプロットされます。
MITRE ATT&CKマトリックス
このセクションでは、MITRE ATT&CK フレームワークに基づいて、すべてのTTPsとそれに関連する戦術を示します。 各TTPsクリックすると、MITRE Web サイトの説明に移動できます。
リプレイモニター
このセクションでは、仮想マシンのディスプレイに表示される動的分析の応答と、いくつかのインタラクション ボタン (フレーム戻し、再生/一時停止、フレーム送り、全画面) をユーザーに提示します。
ダウンロード
このセクションでは、動的解析中に生成されたすべてのファイルをダウンロードしたり、追加の解析のために送信したりすることができます。
さらに非常に重要な機能として、動的分析が実行されたシステムに関連付けられたサンドボックスによって生成されたメモリ ダンプをユーザーがダウンロードできる点があります。
サイドメニュー
サイド メニューのOverviewレポートでは、ユーザーは次のことができます。
- サンプルを再提出して別の分析を行う
- サンプルをダウンロードする（同じ組織内でのみ利用可能）
- 動的解析に関連するPCAPとPCAPNGをダウンロードする
- フィードバックを提供する
- 分析を削除する
このセクションでは、分析の期間、プラットフォーム、画像名、送信時間などの動的分析に関する詳細も示されます。
動的レポートには、ユーザーが行動分析から追加情報にアクセスできるようにする追加のタブも含まれています。
これらのタブは次のとおりです。
- ファイル - 分析中に実行されたすべてのファイルとそれに対応するアクションをリストします
- レジストリ - 分析中に実行されたすべてのレジストリエントリと対応するアクションをリストします
- ネットワーク - すべてのネットワークアクティビティと、それを実行したプロセスに関する関連詳細を、関連するフロー情報とともにリストします。
- プロセス - プロセスに関連するすべてのアクション（例：プロセスの作成、プロセスの終了）とプロセスの追加の詳細を一覧表示します。
- ミューテックス - ミューテックス関連のアクティビティと関連メタデータの一覧
- その他 - 分析中に記録されたが、他のカテゴリに当てはまらないその他のすべてのアクティビティをリストします
URLスキャン
送信されたすべての URL に対して URLScan 分析が実行され、関連するレポートが提供されます。URLScan 分析レポートにアクセスするには、分析レポートから専用の「URLScan」タブをクリックする必要があります。
URLScan 分析レポートには、次のセクションがあります。
URLスキャン
このセクションでは、さまざまな視点からの総合的な判定、スコア、タグを紹介します。
URLScan の完全なレポートへのリンクも表示されます。
スクリーンショット
このセクションでは、ブラウザで URL にアクセスするプロセス中に取得したスクリーンショットを示します。
サイドメニュー
サイド メニューの URLScan レポートでは、ユーザーは次の操作を実行できます。
- 別の分析のためにURLを再送信してください
- URLScanポータルで提出内容を確認する
- フィードバックを提供する
- 分析を削除する