You're investigating a malware sample with suspicious outbound connections. Which sandbox output format would be most helpful?

Đáp án đúng: "PCAP file". Mẫu có kết nối ra ngoài đáng ngờ thì thứ cần nhất là bản ghi gói tin: tệp PCAP do sandbox bắt lại lưu từng gói kèm địa chỉ, cổng, giao thức và nội dung, mở bằng Wireshark để xem mẫu truy vấn tên miền nào, gọi IP nào, gửi dữ liệu gì, từ đó rút IOC mạng và viết luật cho hệ thống phát hiện xâm nhập. "File metadata summary" chỉ tóm tắt băm, kích thước, kiểu tệp, hữu ích ở bước phân loại nhưng không nói gì về kết nối. "Process dump" là kết xuất bộ nhớ tiến trình, hợp khi cần lấy mã đã giải nén hay chuỗi đã giải mã; nó có thể chứa địa chỉ máy chủ nhưng không cho thấy cuộc trao đổi thực tế. "Screenshot log" ghi lại màn hình, hợp với mã độc hiện cửa sổ hay đòi tiền chuộc, không chứa lưu lượng mạng.