تقریباً هر تحلیل‌گر حداقل یک‌بار این جمله را گفته: «فقط برای یک لحظه بازش می‌کنم.»
گاهی همان لحظه کافی است. ماکرو، LNK، ISO سوارشده، یا یک loader که قبل از هر چیز persistence می‌نویسد — هیچ‌کدام منتظر اجازه شما نمی‌مانند.
قانون صفر: سیستم روزمره، میز جراحی نیست
ورک‌استیشن شیفت برای تیکت، چت و SIEM است. برای بازکردن نمونهٔ ناشناس ساخته نشده. حتی اگر «آنتی‌ویروس روشن است».
جریان امن معمولاً این شکل است:
- نمونه را در مسیر قرنطینه/share محدود نگه دارید
- hash (حداقل SHA-256) و منبع را ثبت کنید
- انتقال به محیط تحلیل با کانال کنترل‌شده
- اجرا فقط داخل مهمان ایزوله
- خروجی و IOC را بیرون بکشید؛ خودِ نمونه را برنگردانید روی میز تمیز
کارهایی که قبل از اجرا مجانی‌اند
بدون روشن‌کردن رفتار کامل هم می‌شود فهمید آیا ارزش اجرا دارد:
- پسوند واقعی را با ابزار file/type چک کنید (نه فقط نام)
- اگر آرشیو رمزدار است، رمز را جداگانه و با احتیاط مدیریت کنید
- اسکن چندموتوره برای سیگنال اولیه — نه به‌عنوان حکم نهایی
- حجم، entropy، و نشانه‌های packer
این مرحله همان Static سبک است.
اجرا: فقط داخل قفس
اینجا سندباکس معنی پیدا می‌کند. در آزمایشگاه تحلیل سیستم‌کال نمونه روی ویندوز ایزوله اجرا می‌شود؛ دسکتاپ و رویدادها را می‌بینید بدون اینکه لپ‌تاپ شیفت وارد بازی شود.
چند نکته عملی:
- شبکه مهمان را مطابق سیاست تیم تنظیم کنید (بعضی نمونه‌ها بدون نت ساکت می‌مانند، بعضی با نت کامل خطر جانبی دارند — تعادل را مستند کنید)
- زمان اجرا را الکی کوتاه نگذارید؛ خیلی از loaderها چند دقیقه صبر می‌کنند
- بعد از اجرا، guest را آلوده فرض کنید مگر snapshot تمیز برگردد
چیزهایی که نباید کپی کنید
- اجرای نمونه روی VM شخصی با Shared Folder باز به دسکتاپ میزبان
- mount کردن ISO مشکوک روی همان ماشینی که به AD وصل است
- فرستادن فایل خام در چت عمومی تیم «برای اینکه بقیه هم ببینند»
برای دیدن، گزارش و بازپخش بفرستید؛ نه باینری.
چک‌لیست ۳۰ ثانیه‌ای قبل از کلیک
- مسیر قرنطینه؟
- hash ثبت شد؟
- مقصد اجرا ایزوله است؟
- می‌دانم بعد از اجرا از کجا IOC برمی‌دارم؟
اگر یکی از این‌ها نه است، هنوز آماده بازکردن نیستید.
جمع‌بندی
ایمنی triage بیشتر از ابزار، عادت است. فایل مشکوک را مثل ماده شیمیایی ببینید: برچسب بزنید، جابه‌جا کنید، در هود اجرا کنید. هود شما همان سندباکس است.
اگر می‌خواهید همین مسیر را روی میز تیمی استاندارد کنید، از فرم دمو یا مستندات شروع سریع شروع کنید.