Reverse engineering
Простыми словами
Проще говоря, «Reverse engineering» помогает команде распознать опасное поведение, собрать признаки и выбрать техническую или организационную меру защиты. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Reverse engineering» используют так: его используют для распознавания вредоносного поведения, анализа образцов, настройки защиты или обучения пользователей. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При обнаружении подозрительного объекта специалист опирается на понятие «Reverse engineering»: фиксирует наблюдаемые признаки, проверяет поведение в изолированной среде и обновляет меры обнаружения.
Не путать с
- ДизассемблированиеДизассемблирование — преобразование машинного кода в представление инструкций процессора.
- ДекомпиляцияДекомпиляция — попытка восстановить высокоуровневое представление программы из скомпилированного кода.
- Семейство вредоносного ПОСемейство вредоносного ПО — группа образцов с общим кодом, инфраструктурой, поведением или происхождением.
Как это работает
- Подготовить образецФайл или прошивку хешируют, изолируют и снабжают известным контекстом.
- Разобрать структуруАналитик изучает формат, строки, импорты, секции и управляющие конструкции.
- Подтвердить поведениеГипотезы проверяют отладкой или наблюдением в контролируемой среде.
- Оформить результатФиксируют функции, IOC, техники и рекомендации для обнаружения и реагирования.
Продолжить изучение
Частые вопросы
Проще говоря, «Reverse engineering» помогает команде распознать опасное поведение, собрать признаки и выбрать техническую или организационную меру защиты. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Reverse engineering» применяют на практике?В практике ИБ термин «Reverse engineering» используют так: его используют для распознавания вредоносного поведения, анализа образцов, настройки защиты или обучения пользователей. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Reverse engineering» отличается от близких понятий?«Reverse engineering» описывает следующее: восстановление принципов работы программы через анализ её кода, структуры и поведения. «Дизассемблирование» означает: преобразование машинного кода в представление инструкций процессора. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.