التحليل الجنائي للذاكرة

التحليل الجنائي للذاكرة الرقمية هو تحليل جنائي لتفريغ ذاكرة الكمبيوتر . تطبيقه الأساسي هو التحقيق في هجمات الكمبيوتر المتقدمة والتي تكون خفية بدرجة كافية لتجنب ترك البيانات على القرص الصلب للكمبيوتر. وبالتالي، يجب تحليل ذاكرة الـ ( RAM ) للحصول على أدلة ومعلومات جنائية.

 نبذة تاريخية 

 أدوات الجيل الصفري 
قبل عام 2004، تم إجراء التحليل الجنائي للذاكرة على أساس مخصص ، باستخدام أدوات تحليل البيانات العامة مثل السلاسل و grep . لم يتم إنشاء هذه الأدوات خصيصًا للتحليل الجنائي للذاكرة، وبالتالي تواجه الكثير تلك الادوات الكثير من الصعوبات. كما أنها توفر معلومات محدودة. بشكل عام، استخدامها الأساسي هو استخراج النص وتفريغه من الذاكرة.Dan Farmer and Wietse Venema.Forensic Discovery.Chapter 8. 

توفر العديد من أنظمة التشغيل ميزات لمطوري مكوناته والمستخدمين النهائيين لإنشاء نسخة من الذاكرة الفعلية إما لأغراض تصحيح الأخطاء ( التفريغ الأساسي أو شاشة الموت الزرقاء ) أو تجربة التحسين ( الإسبات (الحوسبة) ). في حالة Microsoft Windows ، كانت عمليات تفريغ الأعطال والإسبات موجودة منذ نظام التشغيل Microsoft Windows NT . كانت مخلفات الأعطال من Microsoft قابلة للتحليل دائمًا بواسطة Microsoft WinDbg ، وأصبحت ملفات الإسبات Windows (hiberfil.sys) قابلة للتحويل في الوقت الحاضر في مخلفات الأعطال من Microsoft باستخدام أدوات مساعدة مثل MoonSols Windows Memory Toolkit التي صممها Matthieu Suiche .

 أدوات الجيل الأول 
في فبراير 2004، قدم مايكل فورد التحليل الجنائي للذاكرة في التحقيقات الأمنية بمقالة في مجلة SysAdmin.Ford, Michael. (2004) Linux Memory Forensics SysAdmin Magazine.  في تلك المقالة، أظهر تحليلًا للإدوات الخفية المستندة إلى الذاكرة. استخدمت العملية أداة أعطال Linux الموجودة بالإضافة إلى أداتين تم تطويرهما خصيصًا لاستعادة الذاكرة وتحليلها بشكل شرعي،[ بحاجة لمصدر ]

في عام 2005، أصدرت DFRWS تحدي التحليل الجنائي الرقمي للذاكرة.DFRWS 2005 Forensics Challenge  واستجابة لهذا التحدي، تم إنشاء المزيد من الأدوات في هذا الجيل، المصممة خصيصًا لتحليل تفريغ الذاكرة. تتمتع هذه الأدوات بمعرفة هياكل البيانات الداخلية لنظام التشغيل ، وبالتالي كانت قادرة على إعادة بناء قائمة عمليات نظام التشغيل ومعلومات العملية.

على الرغم من أنها تهدف إلى أن تكون أدوات بحث، إلا أنها أثبتت أن التحليل الجنائي الرقمي للذاكرة على مستوى نظام التشغيل ممكن وعملي.

 أدوات الجيل الثاني 
وفي وقت لاحق، تم تطوير العديد من أدوات التحليل الجنائي للذاكرة المخصصة للاستخدام العملي. وتشمل هذه الأدوات التجارية مثل Responder PRO، و Memoryze ، و MoonSols Windows Memory Toolkit، وwinen ، و Belkasoft Live RAM Capturer، وما إلى ذلك؛ أدوات مفتوحة المصدر مثل Volatility . تمت إضافة ميزات جديدة، مثل تحليل تفريغ ذاكرة Linux وMac OS X، كما تم إجراء بحث أكاديمي كبير.Petroni, N. L., Walters, A., Fraser, T., & Arbaugh, W. A. (2006). FATKit: A framework for the extraction and analysis of digital forensic data from volatile system memory. Digital Investigation, 3(4), 197-210. Inoue, H., Adelstein, F., & Joyce, R. A. (2011). Visualization in testing a volatile memory forensic tool. Digital Investigation, 8, S42-S51. 

على عكس تمام من Microsoft Windows، يعد الاهتمام بنظام التشغيل Mac OS X جديدًا نسبيًا ولم يبدأه إلا Matthieu Suiche Matthieu Suiche. مؤتمر القبعات السوداء DC 2010.Advanced Mac OS X Physical Memory Analysis.  في عام 2010 خلال مؤتمر Black Hat الأمني.

حاليًا، يعد التحليل الجنائي للذاكرة القمية مكونًا قياسيًا للاستجابة للحوادث السيبرانية .معهد سانس. Memory Forensics for Incident Response. 

 أدوات الجيل الثالث 
منذ العام 2010، ظهر المزيد من الأدوات المساعدة التي تركز على الجانب المرئي لتحليل الذاكرة مثل برنامجي MoonSols LiveCloudKd الذي قدمه Matthieu Suiche. Microsoft Blue Hat Hacker Conference Fall 2010.Blue Screen of Death is Dead.  Matthieu Suiche في Microsoft BlueHat Security Summaryings والذي ألهم LiveKd for Virtual Machines Debugging  ميزة جديدة في Microsoft LiveKd كتبها مارك روسينوفيتش  للسماح باستكشاف الأجهزة الافتراضية عن طريق الوصول إلى ذاكرة الجهاز الإفتراضية من الجهاز الافتراضي المضيف إما لتحليلها مباشرة بمساعدة Microsoft WinDbg أو للحصول على تفريغ ذاكرة بتنسيق ملف تفريغ الأعطال من Microsoft.

 مراجع 

تصنيف:تحاليل جنائية حاسوبية