為了減輕這些風(fēng)險(xiǎn) ， 筆者建議如下的方法：
跟上VMware安全補(bǔ)丁的步伐 ， 經(jīng)常瀏覽其網(wǎng)站 ， 下載其最新的補(bǔ)丁 。
將某物理主機(jī)用于基于VMware的試驗(yàn)環(huán)境 ， 就不要將它用于其它目的 。
不要將物理試驗(yàn)系統(tǒng)連接到生產(chǎn)性網(wǎng)絡(luò) 。
用基于主機(jī)的入侵檢測(cè)軟件監(jiān)視物理主機(jī) ， 如一個(gè)文件集成檢查器 。
用克隆軟件定期重鏡象物理主機(jī) ， 如Norton Ghots 。如果這樣做速度太慢 ， 可以考慮使用硬件模塊 ， 如Core Restore ， 用于撤消對(duì)系統(tǒng)狀態(tài)的改變 。
使用VMware進(jìn)行惡意軟件分析的一個(gè)挑戰(zhàn)就是惡意代碼可能會(huì)檢測(cè)到它是否運(yùn)行在一個(gè)虛擬系統(tǒng)之內(nèi) ， 這會(huì)向惡意軟件指明它正在被分析 。如果你不能修改其代碼來刪除這項(xiàng)功能 ， 你可以重新配置VMware來使它更加秘密地運(yùn)行 ， 可參考如下文檔（http://handlers.sans.org/tliston/ThwartingVMDetection_Liston_Skoudis.pdf）對(duì)VM的.vmx文件進(jìn)行設(shè)置 。這些設(shè)置的最大問題是它們可能會(huì)降低虛擬系統(tǒng)的性能 ， 此外還要注意這些設(shè)置并不被VMware支持 。
虛擬化選擇和策略
當(dāng)然 ， VMware并非可用于惡意軟件分析的唯一虛擬化軟件 。常用的選擇還包括微軟的Virtual PC和Parallels Workstation 。
虛擬化軟件為構(gòu)建一個(gè)惡意軟件分析環(huán)境提供了一個(gè)方便省時(shí)的機(jī)制 。不過 ， 一定要為防止惡意軟件逃離你的測(cè)試環(huán)境而建立必需的控制 。借助一個(gè)配置良好的試驗(yàn)環(huán)境 ， 我們就可以充分利用惡意軟件的分析技巧 。
參考文章：
Lenny Zeltser《Using VMware for malware analysis》
http://searchsecurity.techtarget.com/tip/0,289483,sid14_gci1254046,00.html
推薦閱讀
- Linux下VMware的端口映射的方法
- 網(wǎng)管實(shí)戰(zhàn):RHEL 5在虛擬機(jī)下共享互聯(lián)網(wǎng)
- 讓VMware Workstation實(shí)現(xiàn)服務(wù)自啟動(dòng)
- ISA結(jié)合VMware虛擬機(jī)搭建企業(yè)服務(wù)器
- VMware Workstation 6.5新功能展示
- 如何使用VMware Workstation的調(diào)試模式
- 開車省油的小技巧 定速巡航需要靈活運(yùn)用
- 利用批處理啟動(dòng)或關(guān)閉VMware服務(wù)
- VMware Workstation虛擬機(jī)的時(shí)間鎖定
- Linux虛擬機(jī)用戶數(shù)據(jù)存放技巧