MalwareAnalysis.
Malware-Analyse untersucht Dateien, URLs, Dokumente und Skripte statisch oder während ihrer Ausführung. Sandbox-Berichte beschleunigen Triage und liefern Verhaltensspuren. Sie ersetzen keine manuelle Analyse, wenn Malware die Umgebung erkennt, eine Interaktion erwartet oder ihre Nutzlast erst später lädt.
Marktdichte: hoch. Dreizehn Plattformen decken öffentliche Recherche, private Enterprise-Sandboxing, Appliance-Integration und Self-hosted Analyse ab.
Statisch, dynamisch, interaktiv.
Statische Analyse untersucht Struktur und Code ohne Ausführung. Dynamische Analyse beobachtet Prozesse, Dateien, Registry und Netzwerk. Interaktive Systeme erlauben dem Analysten, Installationsdialoge oder mehrstufige Angriffe gezielt auszulösen.
Ein Upload kann Quellcode, Kundendaten, Zugangsinformationen oder noch unbekannte Malware offenlegen. Vor öffentlicher Analyse müssen Sichtbarkeit, Aufbewahrung, Region und Weitergabe der Probe geklärt sein.
Analyseumgebung und Geheimhaltung zählen gemeinsam.
| Plattform | Modell | Stärke | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|---|
| ANY.RUN | Interaktive Cloud Sandbox | Live-Interaktion und schnelle Triage | SOC und Malware Analysten | Privatsphäre, Region und unterstützte Systeme |
| VMRay | Cloud oder On-Premises | Automatisierte Malware- und Phishing-Analyse | Enterprise SOC und regulierte Umgebungen | Durchsatz, Evasion und Integration |
| Joe Sandbox | Cloud, On-Premises und Appliance | Breite Plattform- und Berichtstiefe | Analysten und Enterprise | Private Analyse, Automatisierung und Kosten |
| VirusTotal | Multi-Engine Intelligence | Breite Reputation, Beziehungen und Community-Daten | Erste Recherche und Threat Intelligence | Upload-Sichtbarkeit und kein abschliessendes Urteil |
| Hybrid Analysis | Öffentliche Falcon Sandbox | Schneller Verhaltensbericht und Suche | Triage und Recherche | Vertraulichkeit und öffentliche Proben |
| Hatching Triage | Cloud Sandbox | Automatisierte Familienerkennung und Verhaltensdaten | Malware Research und SOC | Private Analyse und Integrationen |
| CAPE Sandbox | Open Source Self-hosted | Konfigurations- und Payload-Extraktion | Technische Malware-Labore | Sichere Isolation, Wartung und Anti-Evasion |
| Cuckoo Sandbox | Open Source Framework | Anpassbare dynamische Analyse | Forschung und Eigenbetrieb | Projektstand, Hardening und Betrieb |
| Palo Alto WildFire | Security-Plattform integrierte Sandbox | Automatische Analyse im Netzwerk- und Endpoint-Fluss | Palo-Alto-Umgebungen | Manuelle Analystenfunktionen und Datenregion |
| Fortinet FortiSandbox | Appliance, VM und Cloud | Integration in Fortinet Security Fabric | Fortinet-geprägte Netze | Fremdprodukte und Analysezugang |
| Check Point Threat Emulation | Gateway-integrierte Emulation | Inline-Dateianalyse und Content Reconstruction | Check-Point-Umgebungen | Analystenzugriff und Abdeckung ausserhalb Gateways |
| Intezer Analyze | Code- und Genetikanalyse | Familien- und Code-Wiederverwendung erkennen | Malware Triage und Incident Response | Private Proben und manuelle Tiefe |
| ReversingLabs Spectra Analyze | Static File Analysis | Tiefe Dateistruktur und Software-Supply-Chain-Kontext | Enterprise, AppSec und Malware Research | Dynamic Analysis und Plattformumfang |
Bekannte und ausweichende Probe testen.
- Private und öffentliche Verarbeitung strikt unterscheiden.
- Mehrstufige, passwortgeschützte und interaktive Probe analysieren.
- Prozessbaum, Netzwerk, Payload und ATT&CK-Zuordnung exportieren.
- Sandbox-Evasion und abweichende Ergebnisse dokumentieren.
Ergebnisse fliessen in Threat Intelligence, Detection Engineering und SIEM. Für betroffene Systeme verbinden EDR und Incident Response die Analyse mit der Reaktion.
Security Tool Navigator · Gebiet 09
Im Gebiet Security Operations einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Operations. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.