# التحليل الجنائي للذاكرة

التحليل الجنائي للذاكرة الرقمية هو تحليل جنائي لتفريغ ذاكرة الكمبيوتر . تطبيقه الأساسي هو التحقيق في هجمات الكمبيوتر المتقدمة والتي تكون خفية بدرجة كافية لتجنب ترك البيانات على القرص الصلب للكمبيوتر. وبالتالي، يجب تحليل ذاكرة الـ ( RAM ) للحصول على أدلة ومعلومات جنائية.

## نبذة تاريخية
### أدوات الجيل الصفري

قبل عام 2004، تم إجراء التحليل الجنائي للذاكرة على أساس مخصص ، باستخدام أدوات تحليل البيانات العامة مثل السلاسل و grep . لم يتم إنشاء هذه الأدوات خصيصًا للتحليل الجنائي للذاكرة، وبالتالي تواجه الكثير تلك الادوات الكثير من الصعوبات. كما أنها توفر معلومات محدودة. بشكل عام، استخدامها الأساسي هو استخراج النص وتفريغه من الذاكرة.
توفر العديد من أنظمة التشغيل ميزات لمطوري مكوناته والمستخدمين النهائيين لإنشاء نسخة من الذاكرة الفعلية إما لأغراض تصحيح الأخطاء ( التفريغ الأساسي أو شاشة الموت الزرقاء ) أو تجربة التحسين ( الإسبات (الحوسبة) ). في حالة Microsoft Windows ، كانت عمليات تفريغ الأعطال والإسبات موجودة منذ نظام التشغيل Microsoft Windows NT . كانت مخلفات الأعطال من Microsoft قابلة للتحليل دائمًا بواسطة Microsoft WinDbg ، وأصبحت ملفات الإسبات Windows (hiberfil.sys) قابلة للتحويل في الوقت الحاضر في مخلفات الأعطال من Microsoft باستخدام أدوات مساعدة مثل MoonSols Windows Memory Toolkit التي صممها Matthieu Suiche .

### أدوات الجيل الأول

في فبراير 2004، قدم مايكل فورد التحليل الجنائي للذاكرة في التحقيقات الأمنية بمقالة في مجلة SysAdmin. في تلك المقالة، أظهر تحليلًا للإدوات الخفية المستندة إلى الذاكرة. استخدمت العملية أداة أعطال Linux الموجودة بالإضافة إلى أداتين تم تطويرهما خصيصًا لاستعادة الذاكرة وتحليلها بشكل شرعي،
في عام 2005، أصدرت DFRWS تحدي التحليل الجنائي الرقمي للذاكرة. واستجابة لهذا التحدي، تم إنشاء المزيد من الأدوات في هذا الجيل، المصممة خصيصًا لتحليل تفريغ الذاكرة. تتمتع هذه الأدوات بمعرفة هياكل البيانات الداخلية لنظام التشغيل ، وبالتالي كانت قادرة على إعادة بناء قائمة عمليات نظام التشغيل ومعلومات العملية.
على الرغم من أنها تهدف إلى أن تكون أدوات بحث، إلا أنها أثبتت أن التحليل الجنائي الرقمي للذاكرة على مستوى نظام التشغيل ممكن وعملي.

### أدوات الجيل الثاني

وفي وقت لاحق، تم تطوير العديد من أدوات التحليل الجنائي للذاكرة المخصصة للاستخدام العملي. وتشمل هذه الأدوات التجارية مثل Responder PRO، و Memoryze ، و MoonSols Windows Memory Toolkit، وwinen ، و Belkasoft Live RAM Capturer، وما إلى ذلك؛ أدوات مفتوحة المصدر مثل Volatility . تمت إضافة ميزات جديدة، مثل تحليل تفريغ ذاكرة Linux وMac OS X، كما تم إجراء بحث أكاديمي كبير.
على عكس تمام من Microsoft Windows، يعد الاهتمام بنظام التشغيل Mac OS X جديدًا نسبيًا ولم يبدأه إلا Matthieu Suiche في عام 2010 خلال مؤتمر Black Hat الأمني.
حاليًا، يعد التحليل الجنائي للذاكرة القمية مكونًا قياسيًا للاستجابة للحوادث السيبرانية .

### أدوات الجيل الثالث

منذ العام 2010، ظهر المزيد من الأدوات المساعدة التي تركز على الجانب المرئي لتحليل الذاكرة مثل برنامجي MoonSols LiveCloudKd الذي قدمه Matthieu Suiche في Microsoft BlueHat Security Summaryings والذي ألهم ميزة جديدة في Microsoft LiveKd كتبها مارك روسينوفيتش للسماح باستكشاف الأجهزة الافتراضية عن طريق الوصول إلى ذاكرة الجهاز الإفتراضية من الجهاز الافتراضي المضيف إما لتحليلها مباشرة بمساعدة Microsoft WinDbg أو للحصول على تفريغ ذاكرة بتنسيق ملف تفريغ الأعطال من Microsoft.

## مراجع

* ↑ Dan Farmer and Wietse Venema.Forensic Discovery.Chapter 8. نسخة محفوظة 2024-05-14 على موقع واي باك مشين.
* ↑ Ford, Michael. (2004) Linux Memory Forensics SysAdmin Magazine. نسخة محفوظة 2014-04-09 at Archive.is
* 1 2 DFRWS 2005 Forensics Challenge نسخة محفوظة 2013-04-26 على موقع واي باك مشين.
* ↑ Petroni, N. L., Walters, A., Fraser, T., & Arbaugh, W. A. (2006). FATKit: A framework for the extraction and analysis of digital forensic data from volatile system memory. Digital Investigation, 3(4), 197-210. نسخة محفوظة 2013-02-16 at Archive.is
* ↑ Inoue, H., Adelstein, F., & Joyce, R. A. (2011). Visualization in testing a volatile memory forensic tool. Digital Investigation, 8, S42-S51. نسخة محفوظة 2013-02-16 at Archive.is
* ↑ Matthieu Suiche. مؤتمر القبعات السوداء DC 2010.Advanced Mac OS X Physical Memory Analysis. نسخة محفوظة 2024-02-22 على موقع واي باك مشين.
* ↑ معهد سانس. Memory Forensics for Incident Response. نسخة محفوظة 2013-04-15 at Archive.is
* ↑ Matthieu Suiche. Microsoft Blue Hat Hacker Conference Fall 2010.Blue Screen of Death is Dead. نسخة محفوظة 2013-12-13 at Archive.is
* ↑ LiveKd for Virtual Machines Debugging نسخة محفوظة 2015-10-25 على موقع واي باك مشين.
* ↑ "LiveKd - Windows Sysinternals". مؤرشف من الأصل في 2017-04-28.
* بوابة علم الحاسوب