التحليل الجنائي للذاكرة

**التحليل الجنائي للذاكرة الرقمية** هو تحليل جنائي لتفريغ ذاكرة الكمبيوتر . تطبيقه الأساسي هو التحقيق في هجمات الكمبيوتر المتقدمة والتي تكون خفية بدرجة كافية لتجنب ترك البيانات على القرص الصلب للكمبيوتر. وبالتالي، يجب تحليل ذاكرة الـ ( RAM ) للحصول على أدلة ومعلومات جنائية.

## نبذة تاريخية

### أدوات الجيل الصفري
قبل عام 2004، تم إجراء التحليل الجنائي للذاكرة على أساس *مخصص* ، باستخدام أدوات تحليل البيانات العامة مثل السلاسل و grep . لم يتم إنشاء هذه الأدوات خصيصًا للتحليل الجنائي للذاكرة، وبالتالي تواجه الكثير تلك الادوات الكثير من الصعوبات. كما أنها توفر معلومات محدودة. بشكل عام، استخدامها الأساسي هو استخراج النص وتفريغه من الذاكرة.

توفر العديد من أنظمة التشغيل ميزات لمطوري مكوناته والمستخدمين النهائيين لإنشاء نسخة من الذاكرة الفعلية إما لأغراض تصحيح الأخطاء ( التفريغ الأساسي أو شاشة الموت الزرقاء ) أو تجربة التحسين ( الإسبات (الحوسبة) ). في حالة Microsoft Windows ، كانت عمليات تفريغ الأعطال والإسبات موجودة منذ نظام التشغيل Microsoft Windows NT . كانت مخلفات الأعطال من Microsoft قابلة للتحليل دائمًا بواسطة Microsoft WinDbg ، وأصبحت ملفات الإسبات Windows (hiberfil.sys) قابلة للتحويل في الوقت الحاضر في مخلفات الأعطال من Microsoft باستخدام أدوات مساعدة مثل MoonSols Windows Memory Toolkit التي صممها Matthieu Suiche .

### أدوات الجيل الأول
في فبراير 2004، قدم مايكل فورد التحليل الجنائي للذاكرة في التحقيقات الأمنية بمقالة في مجلة SysAdmin. في تلك المقالة، أظهر تحليلًا للإدوات الخفية المستندة إلى الذاكرة. استخدمت العملية أداة أعطال Linux الموجودة بالإضافة إلى أداتين تم تطويرهما خصيصًا لاستعادة الذاكرة وتحليلها بشكل شرعي،&#x5B; *[[ويكيبيديا:بحاجة لمصدر|<span title="This claim needs references to reliable sources. (May 2023)">بحاجة لمصدر</span>]]* &#x5D;

في عام 2005، أصدرت DFRWS تحدي التحليل الجنائي الرقمي للذاكرة. واستجابة لهذا التحدي، تم إنشاء المزيد من الأدوات في هذا الجيل، المصممة خصيصًا لتحليل تفريغ الذاكرة. تتمتع هذه الأدوات بمعرفة هياكل البيانات الداخلية لنظام التشغيل ، وبالتالي كانت قادرة على إعادة بناء قائمة عمليات نظام التشغيل ومعلومات العملية.

على الرغم من أنها تهدف إلى أن تكون أدوات بحث، إلا أنها أثبتت أن التحليل الجنائي الرقمي للذاكرة على مستوى نظام التشغيل ممكن وعملي.

### أدوات الجيل الثاني
وفي وقت لاحق، تم تطوير العديد من أدوات التحليل الجنائي للذاكرة المخصصة للاستخدام العملي. وتشمل هذه الأدوات التجارية مثل Responder PRO، و Memoryze ، و MoonSols Windows Memory Toolkit، وwinen ، و Belkasoft Live RAM Capturer، وما إلى ذلك؛ أدوات مفتوحة المصدر مثل Volatility . تمت إضافة ميزات جديدة، مثل تحليل تفريغ ذاكرة Linux وMac OS X، كما تم إجراء بحث أكاديمي كبير.

على عكس تمام من Microsoft Windows، يعد الاهتمام بنظام التشغيل Mac OS X جديدًا نسبيًا ولم يبدأه إلا Matthieu Suiche  في عام 2010 خلال مؤتمر Black Hat الأمني.

حاليًا، يعد التحليل الجنائي للذاكرة القمية مكونًا قياسيًا للاستجابة للحوادث السيبرانية .

### أدوات الجيل الثالث
منذ العام 2010، ظهر المزيد من الأدوات المساعدة التي تركز على الجانب المرئي لتحليل الذاكرة مثل برنامجي MoonSols LiveCloudKd الذي قدمه  Matthieu Suiche في Microsoft BlueHat Security Summaryings والذي ألهم  ميزة جديدة في Microsoft LiveKd كتبها مارك روسينوفيتش  للسماح باستكشاف الأجهزة الافتراضية عن طريق الوصول إلى ذاكرة الجهاز الإفتراضية من الجهاز الافتراضي المضيف إما لتحليلها مباشرة بمساعدة Microsoft WinDbg أو للحصول على تفريغ ذاكرة بتنسيق ملف تفريغ الأعطال من Microsoft.

## مراجع

تصنيف:تحاليل جنائية حاسوبية