Wykrycia
Każde znalezisko w raporcie Ocean należy do jednej z pięciu kategorii. Wykrycia są dowodem, ostrzeżenia i logi podejrzanych wymagają oceny recenzenta, systemy wykrywania ujawniają próby ukrycia dowodów, a kontrole integralności sięgają dalej niż to, co działa w tej chwili. Proces jest zawsze taki sam: zbieranie, wzbogacanie, analiza, werdykt.
Logi wykryć
Potwierdzone wykrycia. Wykrycia bezpośrednie pochodzą z pozostałości znanego cheata, ogólne oznaczają bardzo podejrzane pliki wykonywalne, a szczegółowe obejmują metody manipulacji i zależności cheatów. Zasady dla poszczególnych gier opisano dla Global, Minecraft i FiveM.
Logi ostrzeżeń
Modyfikacje, które mogą służyć do omijania wektorów wykrywania, ale same w sobie nie dowodzą oszukiwania: zduplikowana zawartość Prefetch, uruchomiony plik, którego rozszerzenie nie odpowiada zawartości, wyłączony ActivitiesCache lub DLL załadowany do gry z zewnątrz. Kara zależy od serwera i ostrzeżenia.
Logi podejrzanych
Pliki wykonywalne oznaczone z podaniem powodu: kontrole maszyn wirtualnych, narzędzia .NET, packery i protektory, takie jak UPX, VMProtect czy Themida, zmanipulowane pliki, process hollowing oraz makra AutoIT lub AutoHotkey. Przeczytaj powód, a przed podjęciem działań sprawdź plik ręcznie.
Systemy wykrywania
Zachowania antyforensyczne wokół samego skanowania: pliki uruchomione, a następnie zmodyfikowane lub usunięte, usunięte wpisy Prefetch, uruchamianie z udziału sieciowego, urządzenia zewnętrznego lub bezpośrednio z archiwum RAR oraz modyfikacje praktycznie niemożliwe przy normalnym użytkowaniu.
Kontrole integralności
Głębsze systemy: Recovery przywraca usunięte pliki z dysków NTFS i FAT32, korelacja z antywirusem pokazuje, co i kiedy oznaczył antywirus, Engines klasyfikują nieznane pliki wykonywalne przez VirusTotal, pamięć jest sprawdzana w trakcie działania, niezaufane pliki trafiają na listę do ręcznej weryfikacji, a tryb RUIN wychwytuje najmniejszą zmianę w instancji Minecraft Java.