در اتاق عملیات کسی از شما نمی‌پرسد «Static کار می‌کنید یا Dynamic؟» می‌پرسد: تا ربع ساعت دیگر چه می‌دانیم؟
با این حال، اگر ندانید هر مسیر چه می‌دهد و چه را پنهان می‌کند، همان ربع ساعت را هدر می‌دهید.
Static: نگاه بدون اجرای کامل
تحلیل ایستا یعنی فایل را تا جایی که ممکن است بدون روشن‌کردن رفتار کامل ببینید: هدر PE، بخش‌ها، ایمپورت‌ها، رشته‌ها، entropy، نشانه‌های packer، تطبیق YARA.
چی خوب است؟
- سریع است
- ریسک اجرای تصادفی روی ورک‌استیشن را کم می‌کند
- برای دسته‌بندی اولیه («این یک installer بسته‌بندی‌شده است») عالی است
چی می‌سوزاند؟
- obfuscation و packer تصویر را ناقص می‌کند
- رشته‌های رمزشده تا زمان unpack دیده نمی‌شوند
- منطق antivm فقط در اجرا معلوم می‌شود
خیلی از نمونه‌هایی که در نگاه اول «تمیز» به نظر می‌رسند، فقط هنوز باز نشده‌اند.
Dynamic: اجرا در قفس
تحلیل پویا نمونه را در محیط کنترل‌شده اجرا می‌کند تا رفتار واقعی ثبت شود. این همان جایی است که سندباکس بدافزار وارد می‌شود.
چی می‌گیرید؟
- درخت پردازه واقعی
- نوشتن فایل و رجیستری
- DNS/TLS و مقصدهای شبکه
- گاهی payload در حافظه که روی دیسک نیست
چی باید حواس‌تان باشد؟
- اگر مهمان تحلیل لو برود، بدافزار ممکن است ساکت بماند
- زمان اجرای کوتاه = رفتار ناقص
- بدون نگاه لایه‌ای، فقط یک verdict بی‌مصرف می‌ماند
یک قاعدهٔ ساده برای انتخاب
- اول Static سبک روی هر ورودی حجیم: hash، نوع فایل، packer؟ YARA سریع؟
- اگر ابهام ماند یا نمونه از کانال پرریسک آمد → Dynamic ایزوله
- اگر Dynamic چیزی عجیب نشان داد (مثلاً تزریق، Run Key، C2) → برگردید روی Static عمیق‌تر برای خانواده/ابزار
این حلقه را تیم‌های باتجربه خیلی بی‌سروصدا انجام می‌دهند؛ تازه‌کارها معمولاً یکی را مذهب می‌کنند.
مثال کوتاه از شیفت
پیوست invoice.img می‌آید. Static می‌گوید: ISO حاوی setup.exe با entropy بالا. Dynamic در آزمایشگاه سیستم‌کال نشان می‌دهد setup.exe → cmd → نوشتن در %AppData% و یک DNS به دامنهٔ تازه. بدون لایهٔ دوم، فقط می‌گفتید «فایل بسته‌بندی شده». با هر دو، برای شیفت بعد هم IOC دارید هم داستان.
جمع‌بندی
Static سرعت و کم‌ریسکی می‌آورد؛ Dynamic حقیقت اجرایی. هیچ‌کدام جایگزین دیگری نیست. برای triage روزمره، مسیر ترکیبی را عادت کنید و وقتی به اجرا رسیدید، محیط را ایزوله نگه دارید — نه لپ‌تاپ شیفت را.
ادامهٔ مرتبط: بررسی امن فایل مشکوک و محصول سیستم‌کال.