38、渗透测试实验室的数据存档、镜像使用与清理

渗透测试实验室的数据存档、镜像使用与清理

1. 恶意软件分析与实验室存档

在进行恶意软件分析的实验室中，需要对研究环境中的每个系统进行存档。但要注意，所有存档数据都应被视为危险的，包括网络设备的存档。如果要存档实验室中的任何数据，必须确保所有存档介质都清楚标明数据中存在恶意软件。

在非虚拟环境中分析恶意软件时，恶意软件能够随意感染和破坏系统文件，因为没有虚拟机提供的“沙箱”保护。若存档虚拟机，可轻松保存系统的当前状态；而在非虚拟系统中运行时，由于不确定恶意软件修改了哪些内容，可能需要存档整个系统，一种方法是创建系统的幽灵镜像（ghost images）。幽灵镜像是目标系统的完整备份，必要时可将目标系统恢复到当前状态。

幽灵镜像通常用于为实验室系统提供干净的操作系统，也可创建受感染系统的幽灵镜像用于研究。这些镜像可以电子方式传输给供应商和公司，或本地存储以供后续分析。

2. 创建和使用系统镜像

2.1 系统镜像的优势

在实验室中使用系统镜像可以节省大量搭建和拆除渗透测试实验室的时间。渗透测试工程师无需花费时间和资源安装操作系统和应用程序，而是将这些时间和资源用于执行测试和攻击。

2.2 许可问题

在创建虚拟机或幽灵镜像之前，必须考虑许可问题。由于大多数恶意软件以微软 Windows 为目标，实验室中可能会使用不同的微软操作系统，使用微软产品需遵守许可协议，相关信息可在 www.microsoft