Framework Volatility
Qu'est-ce que Framework Volatility ?
Framework VolatilityCadre open source d'analyse forensique de la memoire cree a l'origine par Aaron Walters et la Volatility Foundation, qui permet d'extraire des artefacts numeriques d'images de memoire volatile (RAM).
Volatility est la boite a outils open source de reference pour l'analyse forensique de la memoire. Publie initialement en 2007 par Aaron Walters et d'autres sous le nom de Volatility Project, il est aujourd'hui maintenu par la Volatility Foundation. Il analyse les captures brutes de memoire (dumps RAM, fichiers d'hibernation, pagefiles, snapshots VMware/VirtualBox) sous Windows, Linux et macOS. Les enqueteurs l'utilisent pour enumerer les processus, les connexions reseau, les DLL chargees, les ruches du registre, les modules du noyau et les indicateurs de rootkits, bien apres l'arret du systeme. Volatility 2 est ecrit en Python 2 et fut longtemps la reference ; Volatility 3, sorti en 2020, est une reecriture en Python 3 avec gestion automatisee des symboles. Il est un composant central des playbooks de reponse a incident et est largement utilise dans le triage de malwares et les investigations APT.
● Exemples
- 01
Executer 'vol.py windows.pslist' sur une image memoire acquise pour lister les processus et reperer des binaires creuses (process hollowing).
- 02
Utiliser 'windows.malfind' pour extraire des regions de shellcode injecte lors d'une enquete ransomware.
● Questions fréquentes
Qu'est-ce que Framework Volatility ?
Cadre open source d'analyse forensique de la memoire cree a l'origine par Aaron Walters et la Volatility Foundation, qui permet d'extraire des artefacts numeriques d'images de memoire volatile (RAM). Cette notion relève de la catégorie Forensique et réponse en cybersécurité.
Que signifie Framework Volatility ?
Cadre open source d'analyse forensique de la memoire cree a l'origine par Aaron Walters et la Volatility Foundation, qui permet d'extraire des artefacts numeriques d'images de memoire volatile (RAM).
Comment fonctionne Framework Volatility ?
Volatility est la boite a outils open source de reference pour l'analyse forensique de la memoire. Publie initialement en 2007 par Aaron Walters et d'autres sous le nom de Volatility Project, il est aujourd'hui maintenu par la Volatility Foundation. Il analyse les captures brutes de memoire (dumps RAM, fichiers d'hibernation, pagefiles, snapshots VMware/VirtualBox) sous Windows, Linux et macOS. Les enqueteurs l'utilisent pour enumerer les processus, les connexions reseau, les DLL chargees, les ruches du registre, les modules du noyau et les indicateurs de rootkits, bien apres l'arret du systeme. Volatility 2 est ecrit en Python 2 et fut longtemps la reference ; Volatility 3, sorti en 2020, est une reecriture en Python 3 avec gestion automatisee des symboles. Il est un composant central des playbooks de reponse a incident et est largement utilise dans le triage de malwares et les investigations APT.
Comment se défendre contre Framework Volatility ?
Les défenses contre Framework Volatility combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.
Quels sont les autres noms de Framework Volatility ?
Noms alternatifs courants : Volatility, vol.py, Volatility 3.
● Termes liés
- forensics-ir№ 668
Forensique mémoire
Discipline d'acquisition et d'analyse de la RAM volatile d'un système pour révéler processus, connexions réseau, code injecté et artefacts en mémoire.
- forensics-ir№ 162
Chaîne de possession
Traçabilité chronologique et documentée de chaque personne, lieu et action ayant affecté une preuve, de la saisie jusqu'à son sort final.
- forensics-ir№ 426
Imagerie forensique
Copie bit à bit d'un support de stockage, vérifiée par empreintes cryptographiques, exploitable pour l'analyse et recevable en justice.
- forensics-ir№ 650
Analyse de maliciel
Étude structurée d'un échantillon malveillant pour comprendre son fonctionnement, son origine, ses indicateurs de compromission et son impact sur les systèmes touchés.
- forensics-ir№ 524
Réponse à incident
Processus organisé permettant de préparer, détecter, analyser, contenir, éradiquer puis récupérer suite à un incident de cybersécurité, en capitalisant sur les leçons apprises.
- forensics-ir№ 1156
Analyse de chronologie
Technique forensique qui reconstitue la séquence chronologique des événements d'un système en corrélant les horodatages des fichiers, des journaux et d'autres artefacts.