搭建安全的分析环境

分析恶意软件,动态行为分析是必不可少的一步,所有样本都必须在虚拟环境中执行,不可在主机上执行。因此,我们要需要搭建供动态分析的环境以及防止在主机运行的环境。

动态分析环境搭建

工具

虚拟机

虚拟机软件有很多,我这里选择的是vmware

镜像

可以选择Win7和Win10两种系统进行搭建,推荐去msdn下载干净完整的镜像,避免部分镜像带毒问题。

环境搭建

安装完虚拟机后,然后再安装常用软件、运行依赖库、分析工具等环境。针对分析过程中,需要有以下注意:

  • 在分析之前都要为虚拟机添加快照,方便多次反复使用。
  • 一般情况下,由于很多恶意软件需要联网才能复现出对应行为,网络连接可以设置为NAT模式保证部分网络隔离。但如果分析感染型、蠕虫、勒索病毒等带蠕虫特性的恶意软件时,为了局域网的安全,一定要注意断网分析。
  • 当分析时出现期望或意外的现场时,要先添加快照,因为每一种情况都可能时你最后一次遇到。

主机安全环境配置

进行恶意代码分析,主机不可避免会存放一些恶意软件,为了防止误点击恶意软件对主机造成破坏,我们需要防止恶意软件在本地运行。

设置组策略

在主机存放恶意软件的路径必须通过组策略设置为不可运行,并且恶意软件样本尽量不要带任何后缀,可以复制到虚拟机后再添加后缀。

组策略设置步骤:

1.运行"gpedit.msc",打开组策略对话框

2.在组策略中依次打开"计算机配置"→Windows设置→安全设置→软件限制策略(Software Restriction Policies)→其他规则(Additional Rules),新建路径规则,填入路径。

3.设置好路径规则后,我们还需要全面考虑各种文件类型,并确保禁止执行目录中包含所有可能执行恶意代码的文件类型,以防止恶意软件的执行。

在"指定的文件类型"可以查看能禁止运行的文件类型,由于默认的指定文件类型不够全面。仍然存在恶意代码执行的风险。因此,为了更全面地防止恶意软件的运行,需要细致地设置指定的文件类型。

可添加的文件扩展名有:jar、doc、docx、xls、xlsx、pdf等

注意:如果其他脚本文件和对应的解释器做了文件关联,可以双击执行,那么也应该将该类型添加。

设置完毕后重启电脑,并将正常的程序放入指定目录进行双击执行测试。如果设置成功,将看到如下窗口弹出。

经过虚拟机环境的搭建和主机环境的配置,现在可以安全地进行恶意软件分析了。

相关推荐
安全二次方security²43 分钟前
ARM CCA机密计算安全模型之概述
安全·安全模型·cca·机密计算·领域管理扩展·arm-v9·平台安全服务
黑客Ela1 小时前
网络安全中常用浏览器插件、拓展
网络·安全·web安全·网络安全·php
西京刀客1 小时前
密码学之柯克霍夫原则(Kerckhoff原则)
安全·密码学
Gworg2 小时前
创建HTTPS网站
安全·https·ssl
Smartdaili China3 小时前
如何在 Microsoft Edge 中设置代理: 快速而简单的方法
前端·爬虫·安全·microsoft·edge·社交·动态住宅代理
儒道易行4 小时前
【DVWA】RCE远程命令执行实战
网络·安全·网络安全
Hacker_LaoYi4 小时前
网络安全与加密
安全·web安全
Koi慢热5 小时前
路由基础(全)
linux·网络·网络协议·安全
hzyyyyyyyu6 小时前
内网安全隧道搭建-ngrok-frp-nps-sapp
服务器·网络·安全
网络研究院6 小时前
国土安全部发布关键基础设施安全人工智能框架
人工智能·安全·框架·关键基础设施