20、利用沙箱工具分析僵尸网络

利用沙箱工具分析僵尸网络

在计算机安全领域，了解僵尸网络及其相关的僵尸程序至关重要。获取这些信息的一种有效方法是在沙箱环境中执行这些程序，以分析其内部机制、通信方法和基础设施。

沙箱概述

沙箱是计算机安全中的常见概念，用于执行来自未经验证或不可信来源的程序代码。它提供了一个受监控和控制的环境，确保未知软件不会对真实的主机计算机系统造成损害。实现这一目标的方式有两种：一是阻止某些关键操作，同时允许并监控其他操作；二是创建一个完整的虚拟环境，模拟处理器、内存和文件系统，使被测试的应用程序无法访问真实系统。

在恶意软件分析中，沙箱的主要作用通常不是阻止对系统资源的访问，而是监控这些访问。一般会使用虚拟机或其他机制，以便在分析运行后将系统恢复到干净、未受感染的初始状态，因此对底层系统的保护并非至关重要。这种分析方式称为行为分析，与代码分析不同，代码分析需要借助反汇编器或调试器来检查程序指令。

常见的沙箱工具

• Norman SandBox：由挪威的数据安全公司Norman ASA开发，它可以模拟整个计算机系统和连接的网络。详细的实现细节和底层技术描述可在该公司的沙箱白皮书中找到。其在线实时版本可在 http://sandbox.norman.no/live.html 访问，用户可以上传恶意软件样本并通过电子邮件获取分析报告。
• TTAnalyze：由Ikarus Software GmbH的Ulrich