IAM302 - Phần 3: Phòng lab phân tích và cách ly mạng

Một mẫu thật chỉ được chạy ở nơi nó không thể chạm tới máy nào khác. Cách làm rẻ là vài máy ảo trên một máy tính thường, nối bằng mạng chỉ nội bộ (host-only), chụp snapshot sạch trước mỗi lần chạy để quay về. Vì nhiều mẫu nằm im khi không ra được Internet, lab dựng một Internet giả: INetSim trả lời các truy vấn DNS, HTTP hay SMTP bằng dữ liệu giả để mẫu tưởng đã tới được máy chủ điều khiển. Máy phân tích thường chạy REMnux, bản Linux dựng trên nền Ubuntu và cài sẵn bộ công cụ dịch ngược, đồng thời đứng làm cổng mặc định của máy nạn nhân Windows, nên mọi yêu cầu mẫu gửi đi đều dừng lại ở đó. Trước khi dùng các công cụ ở Phần 4, phải chắc rằng không gói tin nào thoát ra mạng thật.