Analyse des fichiers dans le Bac à sable

Le Bac à sable est un environnement où les fichiers peuvent être exécutés et analysés en toute sécurité pour fournir une protection avancée contre les menaces. Cet article propose une explication du Bac à sable et explique comment l'activer.

Présentation

Le Bac à sable est un environnement isolé, sécurisé et virtuel où des fichiers potentiellement malveillants sont exécutés et analysés sans risque pour votre réseau. Cela fournit une analyse médico-légale en profondeur pour une investigation complète des logiciels malveillants.

Une fois qu'un fichier est exécuté et analysé dans le Bac à sable, un rapport complet est généré et disponible pour téléchargement dans le CMA. Ce rapport inclut à la fois une analyse statique et dynamique offrant une vue complète du risque potentiel du fichier. Pour plus d'informations, consultez Understanding the Sandbox Analysis Report,

Le Bac à sable n'est disponible qu'avec une licence de Protection contre les Menaces Avancées. Pour plus d'informations, contactez votre représentant commercial.

Analyse des fichiers avec le Bac à sable

Tout fichier que la politique Anti-Malware identifie comme malveillant ou suspect est automatiquement analysé dans le Bac à sable. Une fois que vous avez activé le Bac à sable, l'Action pour les règles ANY - ANY par défaut de blocage des fichiers suspects et malveillants passe à Bloquer & Analyser.

Vous pouvez également téléverser des fichiers spécifiques à analyser dans le Bac à sable.

Les fichiers sont analysés dans un environnement virtuel de SE Windows 10.

Comprendre l'Analyse Statique et Dynamique

Dans le Bac à sable, les fichiers sont analysés avec une analyse statique et dynamique. Cela assure une détection plus large des menaces connues et inconnues.

Analyse statique

L'analyse statique exploite des modèles d'apprentissage automatique (ML) pour détecter les menaces en analysant les propriétés des fichiers sans exécution. L'analyse statique du Bac à sable :

Analyse les métadonnées du fichier et les attributs intégrés
Détecte rapidement les menaces connues basées sur les signatures, les opérations de fichiers, les en-têtes PE et les caractéristiques comportementales

Analyse Dynamique

L'analyse dynamique exécute les fichiers dans l'environnement isolé pour observer leur comportement et détecter les activités malveillantes. L'analyse dynamique du Bac à sable :

Observe le comportement du fichier en temps réel pour identifier les menaces évasives ou inconnues
Détecte les logiciels malveillants avancés, y compris les menaces polymorphes qui évitent la détection lors de l'analyse statique

Cas d'usage

Analyse Médico-légale Approfondie

La société ABC's repose sur des solutions anti-malware à détection uniquement. Cela ne fournit pas de visibilité sur le fonctionnement d'une menace et les empêche de comprendre pleinement les tactiques d'attaque, le comportement des charges utiles ou les impacts potentiels sur le système.

Pour répondre à cela, ils activent le Bac à sable pour améliorer leurs capacités d'analyse des menaces. Lorsqu'un fichier suspect est détecté, il est automatiquement envoyé dans l'environnement bac à sable pour une analyse Statique et Dynamique. Le Bac à sable surveille des activités comme les connexions réseau inattendues, les tentatives de modification de fichiers critiques ou les efforts d'élévation de privilèges.

À partir du rapport d'analyse, l'entreprise peut :

Enquêtez sur les causes profondes avec des aperçus détaillés
Comprendre l'impact complet de l'attaque sur leurs systèmes
Cartographiez le comportement aux cadres comme MITRE ATT&CK pour une réponse structurée.

L'utilisation de la fonctionnalité Bac à sable réduit le Temps Moyen de Détection et le Temps Moyen de Réponse, et renforce leur posture globale de sécurité.

Tester les Fichiers Suspects dans un Environnement Contrôlé

Un employé de l'entreprise ABC a reçu un courrier électronique avec un fichier suspect qui est bloqué par leur politique Anti-Malware. L'employé contacte l'équipe de sécurité informatique affirmant que le fichier est sûr et qu'ils ont besoin d'y accéder.

Avant de fournir à l'employé l'accès au fichier, ils le téléversent dans le Bac à sable pour qu'il puisse être exécuté dans un environnement contrôlé.

L'analyse Dynamique dans le Bac à sable a identifié que le fichier a tenté des techniques d'élévation de privilèges et a un verdict malveillant. L'équipe informatique refuse l'accès au fichier et évite une attaque potentielle.

Activation du Bac à sable

Ce Bac à sable est activé à partir de la politique Anti-Malware.

Bac à sable.png

Pour activer le Bac à sable :

Dans le menu de navigation, cliquez sur Sécurité > Anti-Malware.
Activez le bouton Bac à sable.

Analyse de fichiers spécifiques dans le Bac à sable

Vous pouvez enquêter et analyser un fichier spécifique que vous pensez suspect en le téléchargeant manuellement dans le bac à sable. Après avoir téléversé le fichier, un rapport est généré.

Bac à sable_manual.png

Pour analyser des fichiers spécifiques :

Dans le menu de navigation, cliquez sur Sécurité > Rapports Sandbox.
Cliquez sur Télécharger le fichier & Générer un rapport.
Le panneau Télécharger le fichier s'ouvre.
Téléversez le fichier que vous souhaitez analyser.
Cliquez sur Télécharger le fichier & Générer un rapport.

Analyse des Fichiers Protégés par Mot de Passe

Les attaquants livrent souvent des logiciels malveillants dans des archives protégées par mot de passe et des documents Office pour échapper à l'analyse de sécurité. Lorsque le Bac à sable reçoit un fichier chiffré d'un type pris en charge, il tente d'ouvrir le fichier en utilisant une liste pré-définie de mots de passe communément observés dans les campagnes de logiciels malveillants. Si l'un des mots de passe réussit, le contenu du fichier est extrait et analysé avec l'analyse statique et dynamique standard.

Pour voir la liste des mots de passe pré-définis, voir Analyse des Fichiers Protégés par Mot de Passe dans le Bac à sable (vous devez être connecté pour consulter cet article)

Tester le Bac à sable

Pour tester le Bac à sable et recevoir un Exemple de Rapport, téléchargez manuellement le fichier zip en bas de cet article vers le Bac à sable. Ce fichier est un fichier de test de logiciels malveillants.

Exigences des fichiers Bac à sable

Le Bac à sable prend en charge les types de fichiers suivants :

PE / 32 bits & 64 bits, EXE & DLL
Documents Office / Formats OLE & Open XML
Documents RTF
Documents PDF
Scripts / Javascript (JS/JSE/WSF), Visual Basic Script (VBS/VBE), PowerShell
Java / Fichiers JAR
Raccourcis Windows / Fichiers LNK & URL
Fichiers batch Windows / BAT
Types d'archive ou de compression
Archive 7-zip
Archive ace
Archive arj
Compression bzip2
Compression gzip
Archive lha 1.x & 2.x
Archive Cabinet Microsoft
Archive tar
Archive tar Posix
Archive rar
Compression xz
Archive zip
iso 9660 cd-rom
.app (macOS pris en charge uniquement pour l'analyse statique)
.dmg (macOS pris en charge uniquement pour l'analyse statique)

Limites Connues

Les fichiers dépassant 100 Mo ne sont pas non pris en charge