Bellek adli tıp - Memory forensics

Bellek adli tıp dır-dir adli analizi bilgisayar 's bellek dökümü. Birincil uygulaması gelişmiş araştırmadır bilgisayar saldırıları Bilgisayarda veri bırakmamak için yeterince gizli sabit sürücü. Sonuç olarak, hafıza (Veri deposu ) adli bilgiler için analiz edilmelidir.

Tarih

Sıfırıncı nesil araçları

2004'ten önce, bellek adli tıp bir özel temel olarak, genel veri analizi araçlarını kullanarak Teller ve grep. Bu araçlar özel olarak bellek adli tıp için yaratılmamıştır ve bu nedenle kullanımı zordur. Ayrıca sınırlı bilgi sağlarlar. Genel olarak, birincil kullanımları bellek dökümünden metin çıkarmaktır.[1]

Birçok işletim sistemleri çekirdek geliştiricilerine ve son kullanıcılara her ikisi için de fiziksel belleğin anlık görüntüsünü gerçekten oluşturmak için özellikler sağlamak hata ayıklama (çekirdek dökümü veya Ölümün Mavi Ekranı ) amaçlar veya deneyim geliştirme (Hazırda bekletme (bilgi işlem) ). Bu durumuda Microsoft Windows Microsoft'tan bu yana çökme dökümleri ve hazırda bekletme mevcuttu Windows NT. Microsoft kilitlenme dökümleri her zaman Microsoft tarafından analiz edilebilirdi WinDbg ve Windows hazırda bekletme dosyaları (hiberfil.sys) günümüzde Microsoft kilitlenme dökümlerinde aşağıdaki gibi yardımcı programlar kullanılarak dönüştürülebilir. MoonSols Windows Bellek Araç Seti tarafından tasarlanan Matthieu Suiche.

Birinci nesil araçlar

Şubat 2004'te Michael Ford, SysAdmin Magazine'deki bir makaleyle güvenlik araştırmalarına bellek adli tıp incelemesini sundu.[2] Bu makalede, bellek tabanlı bir rootkit'in analizini gösterdi. Süreç, mevcut Linux'u kullandı çökmek yardımcı program ve hafızayı adli olarak kurtarmak ve analiz etmek için özel olarak geliştirilmiş iki araç, memget ve mempeek.

2005 yılında DFRWS Hafıza Analizi Adli Tıp Yarışması yayınladı.[3] Bu zorluğa yanıt olarak, bu nesilde özellikle bellek dökümlerini analiz etmek için tasarlanmış daha fazla araç oluşturuldu. Bu araçlar, işletim sistemi dahili veri yapıları ve böylece yeniden inşa edebiliyorlardı. işletim sistemi 's süreç bilgileri listeleyin ve işleyin.[3]

Araştırma araçları olarak tasarlanmış olsalar da, işletim sistemi seviye hafıza adli tıp mümkün ve pratiktir.

İkinci nesil araçlar

Daha sonra, pratik kullanım için birkaç adli bellek aracı geliştirildi. Bunlar, Responsder PRO gibi ticari araçları içerir, Hafızaya al, MoonSols Windows Bellek Araç Seti, Winen, Belkasoft Live RAM Capturer, vb .; açık kaynak gibi araçlar Uçuculuk. Linux ve Mac OS X bellek dökümlerinin analizi gibi yeni özellikler eklenmiştir ve önemli akademik araştırma gerçekleştirildi.[4][5]

Microsoft Windows'un aksine, Mac OS X faiz nispeten yenidir ve yalnızca Matthieu Suiche[6] 2010 yılında Siyah Şapka Brifingleri güvenlik konferansı.

Şu anda, hafıza adli tıp standart bir bileşenidir olay yanıtı.[7]

Üçüncü nesil araçlar

2010 yılından bu yana, görselleştirme yönüne odaklanan daha fazla yardımcı program görmeye başladık. hafıza analizi gibi MoonSols LiveCloudKd sunuldu[8] tarafından Matthieu Suiche -de Microsoft BlueHat Güvenlik Brifingleri ilham veren[9] tarafından yazılan Microsoft LiveKd'deki yeni bir özellik Mark Russinovich[10] konuk sanal makinenin belleğine ana makine sanal makineden erişerek sanal makinelerin iç gözlemine izin vermek için bunları doğrudan Microsoft'un yardımıyla analiz etmek WinDbg veya bir Microsoft kilitlenme dökümü dosya biçiminde bir bellek dökümü elde etmek için.

Referanslar

  1. ^ Dan Farmer ve Wietse Venema.Adli Keşif.Bölüm 8.
  2. ^ Ford, Michael. (2004) Linux Bellek Adli Tıp SysAdmin Dergisi.
  3. ^ a b DFRWS 2005 Adli Tıp Mücadelesi Arşivlendi 2013-04-26 da Wayback Makinesi
  4. ^ Petroni, N.L., Walters, A., Fraser, T. ve Arbaugh, W.A. (2006). FATKit: Uçucu sistem belleğinden sayısal adli verilerin çıkarılması ve analizi için bir çerçeve. Dijital Araştırma, 3 (4), 197-210.
  5. ^ Inoue, H., Adelstein, F. ve Joyce, R.A. (2011). Geçici bir bellek adli aracı testinde görselleştirme. Dijital Araştırma, 8, S42-S51.
  6. ^ Matthieu Suiche. Siyah Şapka Brifingleri DC 2010.Gelişmiş Mac OS X Fiziksel Bellek Analizi.
  7. ^ SANS Enstitüsü. Olay Müdahalesi için Bellek Adli Bilişim.
  8. ^ Matthieu Suiche. Microsoft Blue Hat Hacker Konferansı 2010 Güz.Mavi Ekran Ölümü.
  9. ^ Sanal Makinelerde Hata Ayıklama için LiveKd
  10. ^ https://technet.microsoft.com/en-us/sysinternals/livekd.aspx