Teljes körű útmutató a kártevő-elemzéshez a rendszerek védelme érdekében

Informatec Digital » Erőforrás » Teljes körű útmutató a kártevő-elemzéshez a rendszerek védelme érdekében

A kártevők elemzése a modern kiberbiztonság egyik legfontosabb feladatává vált , mind a vállalkozások, mind az otthoni felhasználók számára. Naponta jelennek meg új rosszindulatú kódváltozatok, amelyek titkosíthatják a fájlokat, ellophatják a hitelesítő adatokat, vagy kémkedhetnek minden után, amit az eszközeinken teszünk, így ennek a káros szoftvernek a tanulmányozása és észlelése már nem kizárólag a speciális laboratóriumok területe.

A rosszindulatú programok szisztematikus tanulmányozása messze nem pusztán „kockák” tevékenység, hanem gyors incidensreagálást, észlelési szignatúrák generálását, a víruskereső szoftverek fejlesztését és vállalati védelmi platformok fejlesztését teszi lehetővé. Nézzük meg közelebbről, mi a rosszindulatú programok elemzése, a különböző rosszindulatú programok típusai, hogyan használják a mindennapi biztonságban, milyen jelek utalnak egy lehetséges fertőzésre, és milyen eszközöket és technikákat használnak a professzionális elemzők.

Mi a kártevő-elemzés, és miért olyan fontos?

Amikor kártevő-elemzésről beszélünk, egy kártékony (vagy gyaníthatóan kártékony) program mélyreható vizsgálatát értjük alatta, hogy megértsük, mit csinál, hogyan csinálja, és milyen hatással lehet egy rendszerre vagy hálózatra. Ez a vizsgálat lehet manuális, visszafejtési és hibakeresési technikákat alkalmazva, vagy automatizált platformokat és tesztkörnyezeteket használhat, amelyek osztályozzák és jelentést tesznek a fenyegetésekről.

Ennek a folyamatnak köszönhetően a biztonsági csapatok súlyossági szint szerint osztályozhatják az incidenseket , meghatározhatják a kompromittálódás indikátorait (IoC), javíthatják a korai észlelést, módosíthatják biztonsági megoldásaik szabályait, és megérthetik, hogy egy támadási kampány elszigetelt incidens-e, vagy egy szélesebb, szervezettebb fenyegetés része.

A kártevő-elemzés lehetővé teszi a káros szoftverek észlelését, mielőtt azok pusztítást okoznának , ami létfontosságú a vállalati környezetekben, ahol egyetlen zsarolóvírus-fertőzés megbéníthatja a szervezet teljes működését, vagy bizalmas ügyfél- és alkalmazotti adatokat tehet közzé.

Kártevő típusok és fertőzési tünetek

A „kártevő” kifejezés egy gyűjtőfogalom, amely magában foglal minden olyan programot, amelynek célja a felhasználó vagy a vállalat kárának okozása vagy érdekeinek megsértése. Nem minden rosszindulatú program viselkedik ugyanúgy, és nem is mindegyik ugyanazt a célt követi, de közös bennük a titkos és káros természet.

A leggyakoribb rosszindulatú programok között a változatok hosszú listáját találjuk, mindegyiknek megvan a saját karakterisztikája:

• Vírus: olyan kód, amely a felhasználó segítségével replikálja magát, általában fertőzött fájlok megnyitásával vagy fertőzött programok futtatásával.
• Férgek: Automatikusan terjednek a hálózati sebezhetőségek kihasználásával, felhasználói beavatkozás nélkül.
• Trójaiak: Legális vagy ártalmatlan szoftvereknek álcázzák magukat, hogy gyanútlanul bejuthassanak a rendszerbe.
• RAT (távoli hozzáférésű trójai): Trójai program, amelynek célja, hogy a támadó teljes távoli irányítást biztosítson a számítógép felett.
• hátsó ajtó: hátsó ajtó, amely lehetővé teszi a támadó számára parancsok végrehajtását vagy a rendszerhez való hozzáférést normál hitelesítés nélkül.
• Letöltő vagy cseppentő: egy kis program, amelynek fő küldetése más, összetettebb kártevők letöltése és futtatása.
• Hacktool: támadásokhoz használt eszközök (szkennerek, brute force stb.), amelyek nem mindig szigorúan véve rosszindulatúak.
• zsarolóprogramok: Titkosítja az áldozat fájljait, és fizetséget követel azok állítólagos visszaállításáért.
• bot: egy olyan komponens, amely lehetővé teszi a csapat számára, hogy integrálódjon egy botnetbe koordinált támadások indításához.
• Gyökérkészlet: Olyan szoftver, amelyet úgy terveztek, hogy elrejtse magát, és magas jogosultságokkal tartsa fenn a folyamatos hozzáférést.
• Billentyűzetfigyelő: Billentyűleütéseket rögzít, hogy jelszavakat, üzeneteket és más érzékeny adatokat lopjon.
• Bányászati ​​szoftver: A csapat erőforrásait használja kriptovaluták bányászatára beleegyezés nélkül.
• Információlopó: A hitelesítő adatok, személyes adatok vagy pénzügyi adatok ellopására összpontosít.
• Kémprogramok: Figyelemmel kíséri a felhasználói aktivitást, és engedély nélkül elküldi az információkat a támadónak.
• PUP/PUA: potenciálisan nemkívánatos programok, például böngésző eszköztárak és agresszív kéretlen reklámprogramok.
• Adware: Tolakodó hirdetéseket jelenít meg, és módosíthatja a böngészőt vagy a rendszert.

Mindezek a rosszindulatú programok bármilyen modern operációs rendszert érinthetnek : Windows, Linux, macOS, Android, iOS és mások. A platformváltás nem garantálja a biztonságot; csak a felmerülő fenyegetések típusait módosítja.

A fertőzés tünetei nagyon változatosak lehetnek, de bizonyos minták meglehetősen gyakoriak. Egy kártevővel fertőzött számítógép jellemzően észrevehetően lelassul , a ventilátor váratlanul felpörög, az akkumulátor élettartama jelentősen csökken, és felugró ablakok, olyan böngészőeszköztárak jelennek meg, amelyek telepítésére nem emlékszik, vagy furcsa hibaüzenetek és képernyők.

További tipikus problémák lehetnek a hirtelen lemezterület-hiány , a kiterjesztést megváltoztató fájlok, egy rejtélyes README fájl, amely azt állítja, hogy minden titkosítva van (klasszikus zsarolóvírus-taktika), vagy a szokatlan adatforgalom mobileszközökön. Ezek a jelek gyakran rejtett folyamatokra utalnak, amelyek a háttérben fogyasztják az erőforrásokat.

Hogyan jutnak be a rosszindulatú programok az eszközeinkre

A rosszindulatú programok leggyakoribb belépési pontja továbbra is az adathalász e-mailek . A támadó egy bank, egy futárcég, egy közműszolgáltató vagy akár egy ismerősének adja ki magát, és megpróbál rávenni minket, hogy rákattintsunk egy linkre, vagy megnyissunk egy mellékletet, amely valójában rosszindulatú kódot tartalmaz.

Egy másik nagyon gyakori módszer a szoftverek nem hivatalos weboldalakról vagy harmadik féltől származó alkalmazásboltokból történő letöltése. A feltört programokat, licencgenerátorokat vagy fizetős aktivátorokat tartalmazó „ingyenes” programok gyakran álcázott rosszindulatú programokkal érkeznek, és a felhasználók szinte észrevétlenül elfogadják a telepítésüket.

Továbbá léteznek olyan kártevőcsaládok, amelyek képesek felhasználói beavatkozás nélkül kihasználni a hálózati sebezhetőségeket , mint például a WannaCry, a Conficker, a Blaster, a Slammer és a Sasser esetében. Ezekben az esetekben a féregnek csak egy sebezhető hálózathoz kell csatlakoznia a terjedéshez.

A fertőzés konkrét megoldása a rosszindulatú program típusától és az okozott kártól függ, de olyan esetekben, mint a zsarolóvírusok, a legkevésbé tanácsos a váltságdíj kifizetése , mivel az illegális üzleteket táplálja, és nem garantálja az adatok helyreállítását.

Mikor és miért kell kártevő-ellenőrzést futtatni

Szinte bármikor futtathatsz kártevőkeresést, ha ellenőrizni szeretnéd a számítógéped állapotát , de vannak olyan esetek, amikor ez különösen ajánlott. Ha gyanítod, hogy az eszközöd megfertőződött, vagy ha meg akarsz győződni arról, hogy egy korábbi fertőzés teljesen eltávolításra került, érdemes azonnal lefuttatni a keresést.

A további vizsgálatot indokoló jelek közé tartozik a teljesítmény jelentős csökkenése , a meglepően alacsony akkumulátor-üzemidő, a megmagyarázhatatlanul magas adatforgalom, vagy bármilyen szokatlan viselkedés az alkalmazásokban és a rendszerben. Mindezek a tünetek ismeretlen folyamatokra utalnak, amelyek csendben fogyasztják az erőforrásokat.

Az olyan integrált eszközök, mint a Microsoft Defender, lehetővé teszik a gyors vagy teljes vizsgálatokat. A vizsgálat befejezése után a rendszer maga jelzi, ha gyanús elemet talált, és sok esetben automatikus lehetőségeket kínál a karanténba helyezésre vagy az észlelt fenyegetés eltávolítására.

A kártevő-elemzés típusai és szakaszai

Az elemzők különféle megközelítéseket alkalmaznak a fenyegetések működésének megértésére. A klasszikus különbségtétel a statikus elemzés, a dinamikus elemzés és a hibrid elemzés között van , de a gyakorlatban a folyamat általában több szakaszra tagolódik, amelyek a vizsgálat előrehaladtával egyre összetettebbé válnak.

Az első fázisban általában automatizált szkennelési elemzéseket alkalmaznak . Az olyan platformok, mint a VirusTotal vagy a vállalati sandboxok, összehasonlítják a mintát az ismert fenyegetések adatbázisaival, ellenőrzött környezetben futtatják a fájlt, és jelentéseket készítenek a hálózati forgalomról, a fájlaktivitásról, a beállításjegyzékbeli változásokról és más kulcsfontosságú viselkedésekről.

Ezután következik a statikus tulajdonságok elemzése , ahol a fájlt végrehajtás nélkül vizsgálják: hash-ek, beágyazott karakterláncok, erőforrások, metaadatok, PE fejlécek és más hasonló formátumok. Az olyan eszközök, mint a PeStudio, a PE-bear vagy a pefile lehetővé teszik a belső struktúra vizualizálását és az elferdített aláírások, URL-ek vagy IP-címek megtalálását.

A dinamikus elemzés magában foglalja a rosszindulatú program elszigetelt környezetben (Windows virtuális gépek, disztribúciók, mint például a REMnux stb.) történő futtatását, és a létrehozott folyamatok, fájlrendszer-módosítások, beállításkulcsok, hálózati kapcsolatok, szolgáltatások vagy generált mutexek valós idejű megfigyelését. Itt jönnek képbe a fejlett monitorok, mint például a Process Monitor, vagy a hálózati rögzítő eszközök, mint például a Wireshark.

Végül, a legrészletesebb fázisban a szakemberek disassemblereket és decompilereket (IDA, Ghidra, Radare, DnSpy, Jadx stb.) használva visszafejtik a kódot . Hibakeresők, mint például az x64dbg vagy a WinDbg segítségével végiglépnek a végrehajtáson, elemzik az API-hívásokat, visszafejtik a belső konfigurációkat, és azonosítják a kritikus titkosítási, kiszűrési vagy megkerülési rutinokat.

Kártevő-elemzési felhasználási esetek

Mindezen munka végső célja, hogy a fenyegetésről hasznosítható információkat szerezzünk , ami a mindennapi kiberbiztonság számos aspektusára vonatkozik. Nem csak a rosszindulatú programok programozásának „megfigyeléséről” van szó, hanem a szervezet általános védelmének javításáról is.

Egy tipikus forgatókönyv az incidensre adott válasz . Gyanús viselkedés vagy behatolás észlelésekor a reagáló csapatnak tudnia kell, hogy milyen típusú rosszindulatú program áll mögötte, milyen műveleteket hajt végre, mely rendszereket veszélyeztette, és hogyan lehet azt nyom nélkül kiirtani. Az elemzés lehetővé teszi számukra az incidens hatókörének meghatározását és a helyreállítás megtervezését.

Széles körben használják a kártevők kutatásában és felderítésében mind az akadémiai, mind az ipari szinten. A biztonsági cégek laboratóriumai és kutatócsoportjai meghatározott kártevőcsaládokba (pl. TrickBot, FIN7 és mások) mélyednek el, hogy feltárják a teljes támadási láncukat, megértsék evolúciójukat és jobb védelmi mechanizmusokat tervezzenek.

Egy harmadik kulcsfontosságú felhasználási mód a kompromittálódási indikátorok (IoC-k) kinyerése . Minden mintából fájlok, IP-címek, domainek, beállításjegyzékbeli elérési utak, folyamatnevek vagy karakterlánc-minták hash-ei kerülnek kinyerésre, amelyek ezután felhasználhatók automatikus észleléshez SIEM, EDR és más platformokon.

Az elemzés a proaktív fenyegetésvadászatot is javítja . Azzal, hogy alaposan megértik egy variáns viselkedését, a vadászok finom nyomokat követhetnek a szervezet rendszerein belül, hogy feltárják a korábban nem észlelt fertőzéseket vagy a csendes oldalirányú mozgást.

Végül, mindezek az információk gazdagítják a riasztásokat és a fenyegetések besorolását , segítve a prioritások meghatározását, hogy mely incidensek igényelnek azonnali figyelmet, és melyek kezelhetők nyugodtabban. A modern végpontbiztonsági és XDR-megoldások ezeket az adatokat felhasználva valós időben kontextusba helyezik a történéseket.

A kártevő-elemzés stratégiai előnyei

A legegyértelműbb előnyök közé tartozik a nagy értékű fenyegetésfelderítés . Minden elemzett minta új IoC-ket és TTP-ket (technikákat, taktikákat és eljárásokat) biztosít, amelyek integrálódnak az észlelő motorokba, a Yara szabályaiba, a feketelistákba és a reputációs rendszerekbe.

Továbbá az alapos elemzés javítja a rosszindulatú programok funkcionális megértését : célját, fennmaradási mechanizmusait, kihasznált sebezhetőségeit és megkerülési technikáit. Ez lehetővé teszi javítások fejlesztését, a konfigurációk megerősítését és a működésük blokkolására szolgáló speciális vezérlők kialakítását.

Nem szabad megfeledkeznünk a nulladik napi sebezhetőség-elemzés szempontjáról . Amikor egy minta egy ismeretlen hibát használ ki, a kihasználás alapos tanulmányozása segít azonosítani a mögöttes gyengeséget, és robusztus biztonsági frissítéseket vagy enyhítő intézkedéseket kidolgozni.

Végül, a kártevő-elemzés kiváló tanulási és készségfejlesztő eszköz a kiberbiztonsági szakemberek számára. A valós fenyegetések működésének megfigyelése a legjobb módja annak, hogy megértsük, mi működik valóban a védelmi világban, és mi nem.

Az elemzési környezet létrehozása és védelme

Mielőtt sietnénk a minták futtatásával, mintha nem lenne holnap, elengedhetetlen egy ellenőrzött laboratórium felépítése . A szokásos megközelítés a Windows 10 virtuális gépek és a speciális disztribúciók, például a REMnux Linux beállítása , amelyek egy privát hálózaton, az infrastruktúrától elkülönítve kapcsolódnak egymáshoz.

Speciális eszközök, például elemzőcsomagok (például segédprogramok gyűjteményei, mint a RevCore Tools, Sysinternals, disassembler és debugger) vannak telepítve ezekre a gépekre . Ezenkívül a forgalomrögzítés úgy van konfigurálva, hogy mindent rögzítsen, amit a minta megpróbál küldeni vagy fogadni a hálózaton keresztül.

Fontos szem előtt tartani, hogy sok rosszindulatú program érzékeli, hogy virtuális környezetekben vagy sandboxokban fut-e , és megváltoztatja a viselkedését: alvó üzemmódba lép, hamis adatokat generál, vagy elkerüli a tényleges hasznos adat végrehajtását. Ezért gyakori, hogy a virtuális gépeket „hangolják”, hogy valódi rendszereknek tűnjenek: módosítják a magok számát, a lemezméretet, a dokumentumok jelenlétét, az egérhasználatot stb.

Ha a kártevő azt hiszi, hogy „barátságos” környezetben van (egy valódi gépen vagy egy elég meggyőző gépen), jellemzően megmaradási mechanizmusokat hoz létre a Windows rendszerleíró adatbázisán vagy a rendszerszolgáltatásokon keresztül, így minden rendszerindításkor vagy bejelentkezéskor lefut. Az olyan kulcsok, mint a Run, RunOnce, Winlogon, AppInit_DLL-ek, vagy az indítási mappákban található helyek olyan gócpontok, amelyeket az elemzők olyan eszközökkel vizsgálnak, mint az Autoruns.

Kártevő-elemző eszközök

Egy kártevő-elemző eszköztára az alacsony szintű segédprogramokat és az automatizált platformokat ötvözi . Nincs egyetlen csodaszer; minden mintához más készletre lehet szükség a nyelvtől, a csomagolástól és a viselkedés típusától függően.

A statikus analízis területén kiemelkednek az olyan disassemblerek és decompilerek , mint az IDA, a Ghidra és a Radare. Ezek a gépi kódot assembly nyelvre, és gyakran magasabb szintű, könnyebben olvasható pszeudokóddá alakítják. .NET vagy Java bináris fájlokhoz a DnSpy és a Jadx széles körben használatos.

Az olyan hibakeresők , mint az x64dbg vagy a WinDbg, lehetővé teszik a rosszindulatú programok lépésről lépésre történő végrehajtását, töréspontok beállítását a kritikus API-kon (folyamatok létrehozása, kriptográfia, kommunikáció), valamint a memória és a regiszterek valós idejű kezelésének megfigyelését. A régebbi eszközök, mint az OllyDbg vagy az Immunity Debugger, továbbra is megállják a helyüket, különösen a speciális szkriptekkel történő támadások elemzésében.

A rendszer élő tevékenységének megfigyelésére olyan fejlett monitorokat használnak, mint a Process Explorer, a Process Monitor, a TCPView vagy az Autoruns (mindegyik a Sysinternals-tól), amelyek részletesen mutatják a folyamatokat, szálakat, fájlhozzáféréseket, hálózati kapcsolatokat és perzisztencia pontokat.

A PE és hasonló formátumok elemzéséhez olyan eszközök, mint a PeStudio, a PE-bear és a pefile, megkönnyítik a szakaszok vizsgálatát, a bejegyzések importálását és exportálását, a beágyazott erőforrásokat és a potenciálisan gyanús aláírásokat. A HxD-hez hasonló hexadecimális szerkesztők segítségével bármely fájl bájtonként megvizsgálható, és szükség esetén módosítható.

A hálózati forgalmat jellemzően Wireshark vagy más elemzőkkel elemzik , amelyek feltárják a parancs- és vezérlőtartományokat, a használt protokollokat, a kiszivárgott adatokat vagy a titkos alagutakat. A Yara-szabályok ezzel szemben elengedhetetlenek a nagyméretű mintagyermeszekben lévő konkrét családok azonosításához.

Népszerű elemző és védelmi eszközök a vállalkozások körében

A vállalati szférában az alacsony szintű segédprogramok mellett számos szervezet kereskedelmi megoldásokra és központosított platformokra támaszkodik végpontjainak védelmére és gyanús fájljainak elemzésére.

A legjobb választási lehetőségek közé tartoznak olyan csomagok, mint a Malwarebytes, a McAfee, az F-Secure, az AVG, az Avast, a Norton, a Kaspersky és a Comodo , valamint speciális motorok és tesztkörnyezetek, mint például a Cuckoo Sandbox. Ezek az eszközök valós idejű elemzést, aláírás-alapú észlelést, viselkedéselemzést és incidensekre való reagálási képességeket ötvöznek.

Az olyan fejlett platformok, mint a CrowdStrike Falcon vagy a SentinelOne, integrálják a kártevő-elemzést az EDR/XDR-ajánlataikba, lehetővé téve számukra nemcsak az ismert variánsok, hanem az új és a nulladik napi fenyegetések észlelését is a gépi tanulásnak és az integrált sandboxingnak köszönhetően. Az eredményeket központosított konzolokon mutatják be más biztonsági érzékelők adataival együtt.

Még a hagyományos megoldások, mint például a Kaspersky Endpoint Security, is számos vizsgálati módot kínálnak, amelyek célja a biztonság és a teljesítmény egyensúlyban tartása: teljes vizsgálat (ellenőrzi a kernel memóriáját, a rendszerindító szektorokat, a biztonsági mentéseket, az összes lemezt), kritikus területek vizsgálata (a memóriára, az aktív folyamatokra és a rendszerindító szektorokra összpontosít), egyéni vizsgálat (felhasználó által kiválasztott szegmensek) és háttérvizsgálat (kevésbé tolakodó vizsgálat, amely minimalizálja az erőforrásokra gyakorolt ​​hatást).

Hogyan rejtőzik el és védekezik a rosszindulatú programok az elemzések elől?

A rosszindulatú programok készítői jól tudják, hogy alkotásaikat végül online elemző platformok és laboratóriumok fogják átvizsgálni , ezért mechanizmusokat építenek be ezen környezetek észlelésére és elkerülésére. Céljuk vagy a végrehajtás teljes elkerülése, vagy félrevezető eredmények produkálása, amikor úgy érzik, hogy megfigyelés alatt állnak.

A szokásos ellenőrzések olyan hardver- és rendszerparamétereket tartalmaznak , mint a processzormagok száma, a lemezméret, a virtuális gépekhez társított MAC-cím, a billentyűzet nyelve, a gazdagép vagy a felhasználónév, valamint bizonyos, virtualizált környezeteket feltáró beállításkulcsok jelenléte.

A rosszindulatú programok a futó folyamatokat is képesek átvizsgálni víruskereső, EDR, hibakereső vagy speciális elemzőeszközök után kutatva. Ha ezek közül bármelyiket észleli, leállíthatja a végrehajtást, hamis kódútvonalakat aktiválhat, vagy egyszerűen ártalmatlan programként viselkedhet.

Egy másik klasszikus trükk az eltelt idő vagy a végrehajtási dátum ellenőrzése , kiterjesztett alvó függvények használatával, hogy kimerítsék az automatizált sandboxok elemzési idejét. Amikor az elemzés véget ér, és a fájl visszatér egy valós környezetbe, a rosszindulatú program felébred és normálisan viselkedik.

A helyzet további bonyolításaként sok támadó titkosító és csomagoló programokat használ , amelyek titkosítják vagy obfuszkálják az eredeti bináris fájlt. A Builder többrétegű védelemmel generálja a végső futtatható fájlt, a Stub pedig a tényleges hasznos fájl dekódolásáért és elindításáért felelős, gyakran közvetlenül a memóriába (futásidejű környezet) a lemezre írás (szkennelési környezet) helyett, ami megnehezíti a rögzítését és a későbbi elemzését.

Statikus és dinamikus elemzési módszerek a gyakorlatban

Egy szigorú statikus elemzés során az elemző elkerüli a minta végrehajtását, és a belső logika kicsomagolására, hatástalanítására és megértésére összpontosít . A karakterláncokat karakterláncok vagy FLOSS eszközök segítségével nyerik ki (amelyek futásidejű visszafejtett karakterláncokat kérnek le), az API-importálásokat felülvizsgálják a viselkedés megállapítása érdekében, és a családokat Yara szabályok segítségével azonosítják.

A következő lépés jellemzően a szétszerelést és visszafejtést , a programfolyamat, a kritikus funkciók és a titkosítással, távoli kommunikációval, perzisztenciával vagy jogosultságok eszkalációjával kapcsolatos potenciális kódblokkok tanulmányozását foglalja magában. A rosszindulatú program belső konfigurációját (C2-kiszolgálók, titkosítási kulcsok, telepítési útvonalak) gyakran keresik a nagy értékű IoC-k megszerzése érdekében.

Dinamikus elemzés során, egy jól definiált környezetben, a mintavétel végrehajtásra kerül a statikus elemzés során generált hipotézisek ellenőrzésére . A rendszer figyeli a folyamatok létrehozását, a fájlok módosítását, a Windows rendszerleíró adatbázisába való írást, a hálózati forgalmat, a szolgáltatások létrehozását és a mutexeket. Mindezeket az információkat összefüggésbe hozzák a fenyegetés azonosítása és meghatározása érdekében.

Az online elemzőeszközök mindkét megközelítést ötvözik, és jó első lépést jelenthetnek. Azonban nem tévedhetetlenek : kihagyhatnak új vagy erősen homályos családokat, de általában elegendő nyomot és információgyűjtési pontot kínálnak ahhoz, hogy a laboratóriumban alaposabban folytassák a vizsgálatot.

A teljes folyamat során az elemzők nevet adhatnak az adott családnak vagy variánsnak , dokumentálhatják a TTP-it, és olyan szabályokat generálhatnak, amelyek lehetővé teszik a felismerését más rendszerekben vagy jövőbeli kampányokban, így lezárva az elemzés és a védekezés közötti ciklust.

Egy olyan környezetben, ahol naponta több száz új minta kerül napvilágra, a robusztus kártevő-elemzési képességek jelentik a különbséget aközött, hogy mindig egy lépéssel a támadók mögött maradunk, vagy előre látjuk a lépéseiket, észleljük és blokkoljuk a fenyegetéseket, mielőtt azok komoly problémává válnának a felhasználók és a szervezetek számára.