Behavioral analysis in a malware lab must always be conducted in real-time to be effective.

Đáp án đúng: "False". Phân tích hành vi (behavioral analysis) là chạy mẫu trong lab cô lập rồi quan sát thay đổi trên tệp, registry, tiến trình và mạng. Việc quan sát có thể diễn ra theo thời gian thực bằng Process Monitor hay Wireshark, nhưng cũng có thể làm sau khi mẫu chạy xong: Regshot so ảnh chụp registry trước và sau, sandbox như Cuckoo ghi nhật ký rồi xuất báo cáo, ảnh bộ nhớ được phân tích về sau bằng Volatility, tệp pcap được mở lại để soi. Hiệu quả phụ thuộc vào việc ghi đủ dữ liệu, không phụ thuộc vào việc người phân tích ngồi xem trực tiếp. Vì thế khẳng định phải luôn làm theo thời gian thực là sai; chọn "True" là bỏ qua cả nhóm kỹ thuật so sánh trước sau và phân tích nhật ký sau khi chạy.