长话短说，我与一位前同事联系，他对自己正在进行的研究以及如何进行研究有疑问。 有时候，进行研究会很有趣，但是我见过，犯过很多次的最常见错误之一就是不知道何时分享您的结果，继续前进或只是获得一些帮助。
我的朋友对该怎么办有一些疑问，他花了相当多的时间，而且事情变得越来越大，一些问题仍然没有答案，这应该阻止您吗？ 我会说不。
在APT时代，国家赞助的攻击，前所未有的DDoS规模，就像在Github上遭受打击的人一样，分享您所知道的信息可能是帮助人们保护自己或他们的业务的关键。 另一方面，将枪支指向背后的人物，发生的事情以及您所知道的可能是企业的军备竞赛，在某些示例中，它只是进行了所有宣传，因为传播团队中的人们都在计算观看次数，点击次数或最新发布的帖子/论文/视频的份额（如此出色的指标否？）。
我喜欢研究的一件事是，您可以分享给同行，以从您的工作中学到东西，利用您的见解更好地保护他们的系统，或者通过您不了解的故事中的一部分与您联系并进行协作做得更好。 我将分享一些我问我的朋友让他回答的问题，并决定他是否应该发布。
你为什么要调查这个？
我倾向于是一个好奇的人，而我最终从事的大多数调查（至少是在ESET进行的）都是由一个简单的问题发起的，就像这个恶意软件家族在做什么一样简单？ 当您开始查看二进制代码或一段代码时，您开始自问自己它们在做什么，通过拉动字符串，您可以发现背后的操作难关。
谈论使用恶意软件来窃取金钱，滥用系统或监视他人时，您可能会问自己如何处理。 一些原因可能是：
- 检测/识别：您要确保不会错过与之关联的新恶意软件。 跟踪不良参与者正在使用的基础架构，TTP并建立一个完整的故事。 如果您正在查看犯罪软件，那么许多不良演员可能会使用相同的家族，那么您如何识别它们呢？
- 破坏：您希望他们停止运营或至少停止针对您的公司或客户。
- 监视：您静静地监视并跟踪他们的所有活动，了解他们的战术，工作时间和逃避技巧（如果您正在部署某些侦查功能）
还有更多，但我试图将范围限制在故事中，您可能会想出故事的来历，但我不会告诉您。
您为什么要发表调查？
这似乎是一个显而易见的问题，但如果您追随某人或某些特定事物，则有时最好不要发布。 如果您希望引起人们的注意，那么人们可以回顾一下自己的数据并找出他们是否是受害者，而不是仅仅去追求它。 一旦发布并开始受到同行的青睐，媒体将引起您的关注（好坏），并希望有更多的数据可以流通。
发布调查可能会导致其他与您所做的事情相同的人开始共享。 如果您正在做的事情是业务的一部分，那么这很重要，但是有时候做对是更好的选择。 早在2011年，进入Dorkbot时，我并不是唯一一个关注此僵尸网络的人，但是仍然分享您所知道的好东西，产生了一些影响，使我了解了有关该蠕虫的更多信息。
一个很好的理由是，如果您从发现的内容中获得收益并从中获得收益，则不发布任何内容，否则这样做会提醒背后的任何人您正在查看它们，因此他们将开始查看您。 根据不良行为者的范围和活动，这可能会导致一些麻烦。 记住有关帮派，国家赞助的演员和这类事情的信息。 在某些情况下，我们有些掩饰您可能会想尝试中断一些操作，而这些操作主要与某些犯罪软件有关（至少在我看来！），对我们而言是个不错的选择。
何时发布您拥有的内容？
如果您知道这样做的原因，并决定与社区分享您的工作，那么该决定何时发布和发布内容的时候了 。 如果首先发布是您的目标，并且您将继续开展活动，那么您可以利用它来发挥自己的优势，并在分享过程中分享少量信息。
随着调查的进行，发布会增加一些额外的压力以保持跟踪，也可能会立即产生影响。 最好讲一个故事，讲述您的过程，发现和调查的进展。 这样做的风险是人们可以追上您，您将拥有直接竞争，但是我仍然相信这对社区有利。
另一种选择是在您的研究或调查的特定里程碑发布。 以下是一些很好的例子，所有关于APT的论文以及它们随着时间的演变都是如此。 坏演员知道他们在监视他们，当您发布它们时，他们知道您在监视他们。 对于许多公司而言，APT都是每天更新的，因为它们对媒体和社区具有巨大的影响。
什么时候停止？
如果发生了多次错误，我不知道何时停止。 就我个人而言，我就像一只不愿意放弃骨头的狗，只是将其保留在那里。
关于您调查的最重要要点之一就是我们谈论的原因 。 很多时候您可以重新评估自己的目标和范围，但是拥有明确的目标是避免松懈的关键。
每次调查都有一个转折点，在那个阶段继续进行工作的回报可能不如预期的好。 在此阶段之前，您可以决定是否可以继续监视信息，同时允许您移至新内容或将其传递给其他团队/研究人员。
如果无法将工作移交给其他团队，则需要结束调查，而无需发布所有内容或只是停止。 我已经尝试过几次以保持其生存状态，因为您可能总是会遇到更多问题，但这可能会转化为根本无用的问题。
外卖？
研究很有趣。 大多数时候取决于您何时停止以及要寻找什么。 然而，问题和挑战将永远是其中的一部分。 数据不会反映您的假设，不良演员的行为会根据他们的目标而不是您的目标以及许多事情的处理方式而变化。
这是一个过程，因此您负责弄清楚该怎么做和如何做，但是如果您的目标是与社区分享您的发现，请记住您需要一个故事来分享，这将对其他调查人员有所帮助，公司或个人拿走东西。 您做得越多，您就会学到该过程，而我仍在学习自己该做什么。 如果您有任何疑问，很高兴谈论他们！
PD：我的朋友们的研究有望在接下来的几个月中看到曙光，这确实是很好的内容。
