Hybrid Analysis
CrowdStrike 旗下动态沙盒分析
简介
Hybrid Analysis 由 Payload Security 创办，2017 年被 CrowdStrike 收购，是业内最强的免费动态沙盒之一。把可疑文件丢进虚拟环境真实运行，记录 API 调用、网络流量、文件操作，输出极深的行为分析报告。
核心功能
- 动态沙盒执行（Windows / Linux / Android）
- MITRE ATT&CK 行为映射
- 网络流量记录
- API 调用追踪
- 注册表 / 文件操作日志
- YARA / Suricata 规则匹配
- CrowdStrike Falcon 集成
优缺点
优点
- CrowdStrike 收购后基础设施有保障
- 动态沙盒深度业内领先
- 公共版完全免费
- MITRE ATT&CK 行为映射详细
缺点
- 运行时间长（分钟级）
- 单文件 100MB 上限
- 公共版样本会被社区共享
详细介绍
这是什么
Hybrid Analysis 由德国公司 Payload Security 创办，旗下的 Falcon Sandbox 是商业级动态沙盒产品，免费在线版即 hybrid-analysis.com。2017 年 Payload Security 被 CrowdStrike（全球头部 EDR 厂商）收购，目前是 CrowdStrike Falcon 安全平台的一部分。
差异化定位：**动态沙盒分析最深**。VirusTotal 偏静态多引擎，Hybrid Analysis 把文件真实放进虚拟机运行，记录所有 API 调用、注册表操作、网络外联、文件释放，输出比静态分析详细得多的行为分析。
出海团队的合规用法
- **客服收到的可疑附件**：扔 VT 后还有疑问就扔 Hybrid Analysis 看实际行为
- **逆向工程师**：分析样本的完整执行链路
- **应急响应**：勒索软件 / APT 样本快速取证
- **威胁情报**：从样本反推 C2 服务器地址做防御
- **新软件评估**：装到工作机前看真实行为是否可疑
关键参数（截至 2026-05 公开资料）
- 公共版：完全免费，需注册账号
- 沙盒环境：Windows / Linux / Android
- 单文件上限：100MB（公共版）
- 行为分析报告：MITRE ATT&CK 映射、网络流量、API 调用、文件操作
- 集成：CrowdStrike Falcon 商业版深度集成
- API：付费订阅按用量
适合谁
- 安全研究员 / 逆向工程师
- 应急响应团队
- 出海企业的 SOC
- 需要深度行为分析的场景
不适合谁
- 仅需要快速扫描"是不是恶意"的轻量用户（用 VirusTotal 更快）
- 单文件超 100MB（公共版上限）
与主要竞品的区别
- **vs VirusTotal**：互补关系。VT 静态多引擎扫描广、速度快；Hybrid Analysis 动态沙盒深、行为分析详细
- **vs ANY.RUN**：ANY.RUN 交互式沙盒（可在沙盒内手动点击），Hybrid Analysis 自动化深
- **vs Joe Sandbox**：Joe Sandbox 商业沙盒（同类深度），Hybrid Analysis 公共版免费
注意事项
- **隐私敏感数据不要上传**：和 VirusTotal 一样，公共版的样本会被社区查到
- **运行时间长**：动态沙盒比静态扫描慢，分钟级而非秒级
- **CrowdStrike 收购后**：免费版长期保留是当前承诺，但商业策略可能调整
法律与合规边界
合法且必要——动态沙盒是防御性 / 取证工具。**只能上传可疑文件做分析**，不要把合法商业软件 / 公司内部工具放上去（可能涉及隐私）。
常见问题
Hybrid Analysis 是免费的吗？
公共版完全免费，需要注册账号。商业版 Falcon Sandbox 是 CrowdStrike Falcon 平台的一部分，按订阅收费。公共版功能足够日常应急响应使用。
Hybrid Analysis 和 VirusTotal 选哪个？
不是二选一，互补使用。VirusTotal 静态多引擎扫描广（70+）+ 速度快（秒级）；Hybrid Analysis 动态沙盒深（真实执行）+ 行为分析详细（分钟级）。常规扫描用 VT，深度分析用 Hybrid Analysis。
动态沙盒是什么意思？
把可疑文件放进隔离的虚拟机真实运行，记录文件的所有行为：调用了什么 API、改了哪些注册表、连了什么外网、释放了哪些子文件。能识别"静态特征干净但运行时恶意"的高级样本（如加壳 / 沙盒逃逸样本）。
上传文件多久出结果？
通常 3-10 分钟。包括样本上传、沙盒运行、行为分析、报告生成几个步骤。比 VirusTotal 静态扫描（秒级）慢，但分析深度也对应增加。
可以分析勒索软件吗？
可以而且推荐。勒索软件的关键行为（文件加密、注册表写入、C2 连接）正好是动态沙盒擅长记录的。报告会列出加密文件路径、释放的子文件、外联的 C2 地址，对应急响应非常有用。
