Forenzní analýza v cloudu

Bc. Vadym Yanovskyy

Bachelor's thesis

Forensic Analysis in Clouds

Abstract:

Tato bakalářská práce se zaměřuje na podporu nástroje pro forenzní analýzu Cuckoo Sandbox v prostředí Kybernetického polygonu. Cuckoo Sandbox je nástroj, který umožňuje automatizovanou analýzu chování binárních souborů. Práce se primárně soustřeďuje na získání podezřelých IP adres použitých malware při komunikaci, které je možné využit při dalším šetření bezpečnostního incidentu. Popisuje techniky a nástroje použité při tvorbě podpůrného prostředí a samotný postup integrace. Integrace řeší zejména spouštění virtuálních stojů z virtualizováného hostitele, proto práce poskytuje přehled virtualizačních technik a jejích porovnání. Kromě toho bylo nutné vytvoření nástrojů pro rozšířenou podporu analýz. Jedná se o program pro automatické generování úderů na klávesnici určený pro analýzu keyloggeru a skript umožňující spuštění analýz a rychlé získaní podezřelých IP adres. Výsledky práce jsou demonstrovány na ukázkových analýzách malware v uzavřeném prostředí Kybernetického polygonu.

Abstract:

This bachelor thesis focuses on creating support environment for forensics analysis tool Cuckoo Sandbox in Cybernetic Proving Ground (KYPO). Cuckoo Sandbox is a software for automating analysis of suspicious binaries files. Thesis mainly focuses on obtaining suspicious IP addresses which appears in malware network communication. This addresses could be used for further investigation of security incident. Thesis also describes technologies and tools that were applied during the creation of support environment and describes the process of integration. Integration mainly focuses on managing virtual machines from the virtualization host, therefore thesis provides an overview of virtualization technologies and their comparison. Moreover it was necessary to create support tools for analysis. The first one is a program for automatic generation of key press (simulate a keyboard typing) that will be used to analyze keyloggers. The second one is a script to run analysis and obtaining suspicious IP addresses. The results of thesis will be demonstrated on the malware analysis in the closed and safety environment of Cybernetic Proving Ground.

Keywords

Cuckoo, sandbox, forenzní analýza, KVM, virtualizace, malware, KYPO

Language used: Czech

Date on which the thesis was submitted / produced: 6. 1. 2015

Thesis defence

• Date of defence: 4. 2. 2015
• Supervisor: RNDr. Daniel Kouřil, Ph.D.
• Reader: RNDr. Michal Procházka, Ph.D.

Masaryk University

Faculty of Informatics

Bachelor programme / field:
Informatics / Computer Networks and Communication