Análisis forense de la memoria

Hasta principios de la década de 2000, el análisis forense de memoria se realizaba de forma ad hoc (denominado análisis no estructurado ), a menudo utilizando herramientas genéricas de análisis de datos como strings y grep . ^{[ 1 ]} Estas herramientas no están creadas específicamente para el análisis forense de memoria y, por lo tanto, son difíciles de usar. También proporcionan información limitada. En general, su uso principal es extraer texto del volcado de memoria. ^{[ 2 ]}

Muchos sistemas operativos ofrecen funciones a los desarrolladores del núcleo y a los usuarios finales para crear instantáneas de la memoria física con fines de depuración (por ejemplo, volcado de memoria o pantalla azul de la muerte ) o para mejorar la experiencia del usuario (por ejemplo, hibernación ). En el caso de Microsoft Windows , los volcados de memoria y la hibernación existen desde Microsoft Windows NT . Los volcados de memoria de Microsoft siempre se han podido analizar con Microsoft WinDbg , y los archivos de hibernación de Windows ( hiberfil.sys ) ahora se pueden convertir en volcados de memoria de Microsoft mediante utilidades como MoonSols Windows Memory Toolkit, diseñado por Matthieu Suiche .

Un paso significativo hacia el análisis estructurado se dio en un artículo de febrero de 2004 en SysAdmin Magazine, donde Michael Ford demostró una práctica más rigurosa de análisis forense de memoria. ^{[ 3 ]} En ese artículo, analiza un rootkit basado en memoria utilizando la utilidad de fallos de Linux existente , así como dos herramientas desarrolladas específicamente para recuperar y analizar la memoria forensemente: memget y mempeek.

En 2005, DFRWS lanzó un desafío de análisis forense de memoria. ^{[ 4 ]} En respuesta a este desafío, se crearon más herramientas de esta generación, diseñadas específicamente para analizar volcados de memoria, como MoonSols , KntTools, FATKit, VolaTools y Volatility . ^{[ 1 ]} Estas herramientas tenían conocimiento de las estructuras de datos internas del sistema operativo y, por lo tanto, eran capaces de reconstruir la lista de procesos y la información de los procesos del sistema operativo . ^{[ 4 ]}

Aunque fueron concebidas como herramientas de investigación, demostraron que el análisis forense de la memoria a nivel del sistema operativo es posible y práctico. ^{[ 1 ]}

Posteriormente, se desarrollaron varias herramientas de análisis forense de memoria destinadas a un uso práctico. Estas incluyen herramientas comerciales como Responder PRO, Memoryze , winen , Belkasoft Live RAM Capturer, etc. Se han añadido nuevas funciones, como el análisis de volcados de memoria de Linux y Mac OS X, y se ha llevado a cabo una importante investigación académica . ^{[ 5 ] [ 6 ]}

A diferencia de Microsoft Windows, el interés por Mac OS X es relativamente nuevo y fue iniciado por Matthieu Suiche ^{[ 7 ]} en 2010 durante la conferencia de seguridad Black Hat Briefings .

Actualmente, el análisis forense de la memoria es un componente estándar de la respuesta a incidentes . ^{[ 1 ]}

A principios de 2010, más utilidades se centraron en el aspecto de visualización del análisis de memoria, como MoonSols LiveCloudKd presentado ^{[ 8 ]} por Matthieu Suiche en Microsoft BlueHat Security Briefings que inspiró ^{[ 9 ]} una nueva característica en Microsoft LiveKd escrita por Mark Russinovich ^{[ 10 ]} para permitir la introspección de máquinas virtuales accediendo a la memoria de la máquina virtual invitada desde la máquina virtual anfitriona para analizarlas directamente con la ayuda de Microsoft WinDbg o para adquirir un volcado de memoria en un formato de archivo de volcado de fallos de Microsoft.