Детекты
Каждая находка в отчёте Ocean относится к одной из пяти категорий. Детекты — это доказательство, предупреждения и подозрительные журналы требуют оценки проверяющего, системы обнаружения выявляют попытки скрыть улики, а проверки целостности выходят за рамки того, что запущено прямо сейчас. Конвейер всегда один: сбор, обогащение, анализ, вердикт.
Журналы детектов
Подтверждённые детекты. Прямые детекты строятся на следах известного чита, общие помечают крайне подозрительные исполняемые файлы, а специфические охватывают методы подмены и зависимости читов. Семантика для каждой игры описана для Global, Minecraft и FiveM.
Журналы предупреждений
Модификации, которые можно использовать для обхода векторов обнаружения, но которые сами по себе не доказывают читерство: дублирующееся содержимое Prefetch, запущенный файл с расширением, не совпадающим с содержимым, отключённый ActivitiesCache или DLL, загруженная в игру извне. Санкция зависит от сервера и предупреждения.
Подозрительные журналы
Исполняемые файлы, помеченные с указанием причины: проверки виртуальной машины, инструменты .NET, упаковщики и протекторы вроде UPX, VMProtect или Themida, изменённые файлы, process hollowing и макросы AutoIT или AutoHotkey. Прочитайте причину и вручную проверьте файл, прежде чем действовать.
Системы обнаружения
Антифорензик-поведение вокруг самого сканирования: файлы, запущенные и затем изменённые или удалённые, удалённые записи Prefetch, запуск из сетевого ресурса, внешнего устройства или прямо из архива RAR, а также модификации, практически невозможные при обычном использовании.
Проверки целостности
Более глубокие системы: Recovery восстанавливает удалённые файлы с дисков NTFS и FAT32, корреляция с антивирусом показывает, что и когда пометил антивирус, Engines оценивают неизвестные исполняемые файлы через VirusTotal, память проверяется во время выполнения, недоверенные файлы выводятся списком для ручной проверки, а режим RUIN ловит малейшее изменение в экземпляре Minecraft Java.