Entry № 746
内存取证
内存取证 是什么?
内存取证获取并分析系统易失性 RAM 的取证学科,用以揭示运行进程、网络连接、注入代码及内存中的痕迹。
内存取证关注断电即逝的易失性数据,可揭露磁盘取证无法触及的证据:仅驻留内存的恶意软件、解包后的载荷、加密密钥、浏览器会话、明文凭据以及 rootkit 的隐藏手法。采集工具包括 WinPmem、DumpIt、AVML 与虚拟化平台快照,产生原始转储或 VMware vmem 文件。Volatility 3、Rekall 等分析框架解析操作系统结构,枚举进程、DLL、网络套接字、注册表配置单元与代码注入。在无文件恶意软件与 APT 调查中至关重要,在符合 NIST SP 800-86 的 DFIR 流程中与磁盘和网络取证互为补充。
● 示例
- 01
使用 Volatility 3 的 malfind 插件检测内存映像中的注入 shellcode。
- 02
从 Windows 内存转储中恢复攻击者执行 Mimikatz 留下的输出。
● 常见问题
内存取证 是什么?
获取并分析系统易失性 RAM 的取证学科,用以揭示运行进程、网络连接、注入代码及内存中的痕迹。 它属于网络安全的 取证与应急响应 分类。
内存取证 是什么意思?
获取并分析系统易失性 RAM 的取证学科,用以揭示运行进程、网络连接、注入代码及内存中的痕迹。
如何防御 内存取证?
针对 内存取证 的防御通常结合技术控制与运营实践,详见上方完整定义。
内存取证 还有哪些其他名称?
常见的别称包括: RAM 取证, 易失性内存分析。