بیشتر نمونه‌های مدرن بدون شبکه ناقص‌اند: یا کانفیگ می‌گیرند، یا کلید، یا دستور. برای همین ترافیک داخل سندباکس پر از سیگنال است — و پر از نویز.
اول نویز را بشناسید
ویندوز و نرم‌افزارهای داخل مهمان خودشان DNS می‌زنند: زمان، telemetry، سرویس‌های مایکروسافت، گاهی آپدیت. اگر هر دامنه‌ای را IOC کنید، فردا فایروال تیم‌تان گریه می‌کند.
فیلتر ذهنی:
- دامنه دقیقاً بعد از پردازهٔ مشکوک؟
- اسم تصادفی/نو ثبت‌شده؟
- الگوی دوره‌ای مثل beacon؟
- شکست TLS یا گواهی عجیب؟
DNS چه چیزی لو می‌دهد؟
- دامنه‌های الگوریتمیک یا خیلی تازه
- زیردامنه‌های بلند و بی‌معنی
- درخواست برای چیزی که در UI نمونه دیده می‌شود (آپدیت جعلی، license، و غیره)
DNS را با درخت پردازه قفل کنید. دامنه‌ای که svchost سیستمی زده با دامنه‌ای که client.exe داخل AppData زده یک ارزش ندارند.
TLS و HTTPS
امروز C2 روی ۴۴۳ عادی است. خودِ TLS بودن مشکوک نیست. این‌ها بیشتر کمک می‌کنند:
- SNI یا مقصد IP چسبیده به رفتار مخرب
- زمان‌بندی منظم درخواست‌ها
- حجم و جهت ترافیک نسبت به یک دانلود ساده
- ترکیب با نوشتن فایل/persistence در همان دقیقه
برای جزئیات بیشتر لایه شبکه در محصول، تحلیل شبکه را ببینید.
IOC شبکه را چطور منتشر کنیم؟
دامنهٔ اختصاصی با کانتکست نمونه > IP اشتراکی بدون کانتکست.
اگر فقط IP دارید، در گزارش بنویسید ممکن است shared باشد و TTL بلوکه کوتاه پیشنهاد دهید. راهنمای کامل‌تر: IOC چیست؟.
جمع‌بندی
شبکه در سندباکس معدن است، نه سطل زباله. سیگنال را از پس‌زمینه جدا کنید، به پردازه وصل کنید، بعد منتشر کنید. در آزمایشگاه سیستم‌کال همین هم‌ترازی لایه‌هاست که triage شبکه را از «لیست دامنه» به داستان قابل‌دفاع تبدیل می‌کند.