샌드박스에서 파일 스캔

샌드박스는 파일을 안전하게 실행하고 분석하여 고급 위협 방지를 제공하는 환경입니다. 이 문서에서는 샌드박스의 설명 및 활성화 방법을 다룹니다.

개요

샌드박스는 잠재적으로 악성일 가능성이 있는 파일이 실행되고 분석되는 격리된 안전한 가상 환경으로, 네트워크에 위험을 가하지 않습니다. 이는 포괄적인 악성 소프트웨어 조사를 위한 심층 법의학 분석을 제공합니다.

파일이 샌드박스에서 실행 및 분석되면, 포괄적인 보고서가 생성되어 CMA에서 다운로드 가능합니다. 이 보고서는 정적 및 동적 분석을 포함하여 파일의 잠재적인 위험에 대한 전체적인 개요를 제공합니다. 자세한 정보를 보려면 샌드박스 분석 보고서를 이해하기를 참조하십시오.

샌드박스는 고급 위협 방지 라이선스가 있을 경우에만 사용 가능합니다. 자세한 정보가 필요하면 영업 담당자에게 문의하십시오.

샌드박스로 파일 스캔

안티멀웨어 정책이 악성이거나 의심스러운 파일로 식별한 모든 파일은 자동으로 샌드박스에서 스캔됩니다. 샌드박스를 한 번 활성화하면 기본 ANY - ANY 규칙의 작업이 의심스럽고 악의적인 파일 차단에서 차단 & 스캔으로 변경됩니다.

특정 파일을 스캔하기 위해 업로드할 수도 있습니다.

파일은 가상 Windows 10 OS 환경에서 스캔됩니다.

정적 및 동적 분석 이해하기

샌드박스에서 파일은 정적 및 동적 분석을 통해 스캔됩니다. 이는 알려진 및 미지의 위협을 광범위하게 탐지할 수 있도록 보장합니다.

정적 분석

정적 분석은 파일의 속성을 실행하지 않고 분석하여 위협을 탐지하기 위해 기계 학습(ML) 모델을 활용합니다. 샌드박스 정적 분석:

파일 메타데이터와 포함된 속성을 스캔합니다
서명, 파일 작업, PE 헤더 및 행동 특성을 기반으로 알려진 위협을 신속하게 감지합니다

동적 분석

동적 분석은 격리된 환경에서 파일을 실행하여 그 행동을 관찰하고 악성 활동을 탐지합니다. 샌드박스 동적 분석:

파일의 행동을 실시간으로 관찰하여 회피 또는 알 수 없는 위협을 식별합니다
고급 악성 소프트웨어 감지, 정적 분석 회피 포함 다형성 위협

사용 사례

심층 포렌식 분석

회사 ABC는 탐지 전용 안티멀웨어 솔루션에 의존합니다. 이로 인해 위협이 어떻게 작동하는지에 대한 가시성을 제공하지 못하며 공격 전술, 페이로드 행동, 또는 잠재적인 시스템 영향을 완전히 이해하지 못합니다.

이를 해결하기 위해, 그들은 위협 분석 기능을 향상시키기 위해 샌드박스를 활성화합니다. 의심스러운 파일이 감지되면, 정적 및 동적 분석을 위해 자동으로 샌드박스 환경으로 전송됩니다. 샌드박스는 예기치 않은 네트워크 연결, 중요한 파일 수정을 시도하는 행위, 또는 권한 상승 노력과 같은 활동을 모니터링합니다.

스캔 보고서에서 회사는 다음을 할 수 있습니다:

인사이트를 통해 근본 원인 조사
공격의 시스템 전체 영향 이해
행동을 MITRE ATT&CK와 같은 프레임워크에 매핑하여 구조적인 대응.

샌드박스 기능을 사용하여 평균 탐지 시간 및 평균 대응 시간을 줄이고, 전체 보안 태세를 강화할 수 있습니다.

관리된 환경에서 의심스러운 파일 테스트

회사 ABC의 한 직원은 안티멀웨어 정책에 의해 차단된 의심스러운 파일이 첨부된 이메일을 받았습니다. 직원은 IT 보안 팀에 연락하여 파일이 안전하며 접근이 필요하다고 주장합니다.

직원에게 파일 접근을 제공하기 전에, 그들은 파일을 샌드박스에 업로드하여 관리된 환경에서 실행할 수 있도록 합니다.

샌드박스의 동적 분석은 파일이 권한 상승 기법을 시도했으며 악의적 판정을 내렸음을 식별했습니다. IT 팀은 파일에 대한 접근을 제공하지 않으며 잠재적인 공격을 피할 수 있었습니다.

샌드박스 활성화

이 샌드박스는 안티멀웨어 정책에서 활성화됩니다.

샌드박스.png

샌드박스를 활성화하려면:

네비게이션 메뉴에서 보안 > 안티멀웨어를 클릭하세요.
샌드박스 토글을 활성화하세요.

샌드박스에서 특정 파일 스캔

의심스러운 특정 파일을 수동으로 샌드박스에 업로드하여 조사 및 분석할 수 있습니다. 파일을 업로드한 후 보고서가 생성됩니다.

샌드박스_manual.png

특정 파일을 스캔하려면:

네비게이션 메뉴에서 보안 > 샌드박스 보고서를 클릭하세요.
파일 업로드 & 보고서 생성을 클릭하세요.
파일 업로드 패널이 열립니다.
스캔할 파일을 업로드하세요.
파일 업로드 & 보고서 생성을 클릭하세요.

비밀번호로 보호된 파일 스캔

공격자들은 자주 보안 스캔을 피하기 위해 비밀번호로 보호된 아카이브 및 Office 문서에 악성 소프트웨어를 전달합니다. 샌드박스가 지원 유형의 암호화된 파일을 받으면, 일반적으로 악성 캠페인에서 관찰되는 비밀번호 목록을 사용해 파일을 열려고 시도합니다. 비밀번호 중 하나가 성공하면 파일 내용을 추출하여 표준 정적 및 동적 분석으로 분석합니다.

사전 정의된 비밀번호 목록을 보려면 샌드박스에서 비밀번호로 보호된 파일 스캔을 참조하세요 (이 문서를 보려면 로그인해야 합니다).

샌드박스 테스트

샌드박스를 테스트하고 예시 보고서를 받으려면 이 글 하단의 zip 파일을 샌드박스에 수동으로 업로드하세요. 이 파일은 악성 소프트웨어 테스트 파일입니다

샌드박스 파일 요구사항

샌드박스는 다음 파일 유형을 지원합니다:

PE / 32비트 & 64비트, EXE & DLL
오피스 문서 / OLE & Open XML 형식
RTF 문서
PDF 문서
스크립트 / 자바스크립트 (JS/JSE/WSF), 비주얼 베이직 스크립트 (VBS/VBE), 파워쉘
자바 / JAR 파일
윈도우 바로가기 / LNK & URL 파일
윈도우 배치 / BAT 파일
압축 또는 압축 유형
7-zip 압축파일
ace 압축파일
arj 압축파일
bzip2 압축
gzip 압축
lha 1.x & 2.x 압축파일
마이크로소프트 캐비넷 압축파일
tar 압축파일
posix tar 압축파일
rar 압축파일
xz 압축
zip 압축파일
iso 9660 cd-rom
.app (macOS 정적 분석만 지원)
.dmg (macOS 정적 분석만 지원)

서비스 제한

파일 크기가 100MB를 초과하는 경우 지원되지 않습니다