Cuckoo Sandbox

01무엇이고, 어떤 일을 하나

• 분석 VM의 실행과 원상 복구를 자동화한다.
• 프로세스·파일·네트워크 등 행위 흔적을 모은다.
• 분석 결과를 정적 특징과 탐지 규칙의 자료로 연결한다.

02어떤 순서로 동작하나

1. 입력과 환경 준비

   분석 사본을 식별하고 대상 형식에 맞는 Guest·도구·네트워크 정책을 정한다. 실데이터와 일상 업무 계정을 분석 VM에 섞지 않는다.

2. 통제된 실행

   스케줄러가 선택한 환경에서 대상을 실행하고 정해진 시간 동안 관찰한다. 실행 실패와 악성 행위 없음은 다른 결과다.

3. 증거 수집

   프로세스·파일·통신 등 지원되는 센서 자료를 모은다. 네트워크 차단 때문에 동작이 달라지는 조건도 분석의 일부로 기록한다.

4. 보고·복원

   추출한 특징과 원본 증거를 보고서로 연결하고 Guest를 초기 상태로 되돌린다. 점수만 옮기지 않고 어떤 행위가 실제로 관찰됐는지 설명한다.

03먼저 알아둘 용어와 구성요소

Sandbox

관찰을 위해 실행 권한·네트워크·복구 상태를 제한한 환경.

Guest

분석 대상이 실행되는 가상 환경.

Behavior report

관찰한 API·파일·프로세스 등 행위의 기록.

Snapshot

분석 전 상태로 돌아가기 위한 복구 지점.

04예제로 따라가기

• 무해한 시험 프로그램이 임시 파일을 만들면 파일 생성 기록과 실제 파일 해시를 비교할 수 있다.
• 인터넷이 차단된 Guest에서 외부 서버 응답을 기다리는 프로그램은 후속 동작을 보이지 않을 수 있다.
• 같은 사본도 필요한 문서 뷰어·운영체제가 없으면 실행에 실패하므로 두 보고서를 단순히 악성 점수로만 비교하지 않는다.

05혼동하기 쉬운 점과 확인 기준

• 샌드박스는 위험을 없애는 마법의 경계가 아니며 공유 폴더·외부 통신·호스트 권한을 별도로 관리해야 한다.
• 원본 Cuckoo와 파생 프로젝트·다른 세대의 구성·지원 버전을 섞어 설치 성공이나 기능 지원을 주장하지 않는다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.