[ 28/03/2009 - Update ]Um
ótimo paper sobre
Forense de Memória foi publicado recentemente por
Kristine Amari no portal do
SANS:
Techniques and Tools for Recovering and Analyzing Data from Volatile Memory (
pdf)
O material busca definir e mostrar o estado atual da
Forense de Memória. Dentre os tópicos apresentados, estão:
- o funcionamento básico da memória volátil;
- as técnicas de aquisição;
- a localização de dados de interesse e sua persistência;
- a enumeração de processos;
- a recuperação de arquivos mapeados em memória;
- as buscas simples e por assinatura de arquivos;
- a detecção e recuperação de dados ocultos.
Adicionalmente, são apresentadas as seguintes ferramentas:
[ 13/12/2008 - Post Original ]O assunto
Live/Memory Forensics ou "forense de memória" está cada dia mais em pauta (
inclusive em vários posts recentes deste blog).
Os motivos são vários:
1) com o o crescimento do tamanho dos discos rígidos e dos casos a serem investigados - tanto no mundo corporativo quando no mundo da criminalística - é inviável a manutenção do procedimento tradicional de se desligar da tomada o sistema a ser analisado e somente depois executar as análises nos discos relacionados.
2) a possível perda de informações sensíveis à investigação - o que pode ser ainda pior quando se trata de uma máquina com volumes (ou o disco inteiro) criptografados por ferramentas como o PGP Full Disk Encryption ou o
TrueCrypt.
3) existem também os casos em que a análise de memória é a única alternativa para obtenção de informações úteis sobre o caso. Por exemplo, quando são usadas as interfaces AJAX de Webmails modernos (Google, Yahoo) - as informações sobre os emails lidos/escritos ficam somente em memória, não havendo artefatos úteis no disco, mesmo nas áreas não alocadas.
A última boa comparação sobre ferramentas deste tipo
havia sido publicada em junho por Halan Carvey, autor do livro "
Windows Forensics Analysis".
Pois bem, ontem mais um
ótimo post sobre o assunto - entitulado "Windows Physical Memory: Finding the Right Tool for the Job" - foi publicado no site sobre computer
forensics do Sans Institute.
O melhor é que neste último post do Sans, o autor (Johnh Sawyer) citou uma grande variedade de soluções - tanto
free / open source, quanto comerciais - que facilitam o trabalho de capturar e analisar os dumps de memória de máquinas - segue a listagem contendo uma tradução livre e alguns comentários meus:
1 - Ferramentas de Aquisição de Memória:1a -
Mandiant Memoryze : boa ferramenta, capaz de fazer o dump de todo o range físico de memória, independente de APIs do Windows, identificação de drivers, hooks e módulos de kernel presentes na memória.
1b -
Mantech Memory DD : como o Sawyer colocou, simples e eficiente.
1c -
Win32dd - tem a vantagem de exportar também em formato do
WinDbg - para posterior análise.
1d -
Guidance Winen.exe/winen64.exe - conforme
post de junho, a partir da versão 6.11 o Encase Forensic vem com
dumpers de memória (32 e 64 bits). A boa notícia para quem não tem a licença/dongle é que o último
Live CD Helix inclui o winen.exe
1e -
Encase Forensic - possibilita o dump da memória inteira ou de processos específicos (
veja)
1f -
F-Response - Não faz o dump por si só mas estabelece um canal de comunicação iSCSI com a máquina para uso das outras ferramentas descritas no post.
1g -
KNTTools da GMG Systems - este aqui eu não conhecia, Sawyer comenta que não vem sendo atualizado, então provavelmetne não o conheceremos em detalhes..
1h -
FastDump da HBGary - excelente ferramentas gratuita que auxiliam o examinador a entender o funcionamento de executáveis (mais voltadas para estudo de malwares).
2 - Ferramentas de Análise de Dumps de Memória:2a -
Volatility - Excelente Framework - escrito em python e gratuito - que - juntamente com seus plugins - facilita em muito a extração de informações críticas aos examinadores forenses (como a
passphrase de um sistema com Full Disk Encryption utilizando TrueCrypt..).
2b -
Memoryze - da Mandiant, possui o output em XML (o que pode ser ruim se você busca clareza e bom se você precisa integrar com qq coisa que leia XML).
2c -
HbGary Responder - considerada por analistas do mercado por muito tempo como a melhor ferramenta no ramo. Pode ser integrada facilmente a versao Enterprise do Encase.
2d - Enscripts para
Encase Forensic/Enterprise - (
ver figura) - no site de
suporte da Guidance existem alguns Enscripts disponíveis para tarefas relacionadas à análise de memória.
PS2: A imagem no início deste post (tradução livre) faz parte do excelente paper "Computer Forensics: Results of Live Response Inquiry vs. Memory Image Analysis" - do Sans Institute (Ago/2008). Os autores deste paper concluem que a Captura/Análise Posterior de Memória tem múltiplos benefícios sobre a resposta à incidentes tradicional em sistemas "vivos" - leitura recomendada.PS3: Uma outra boa fonte de referência sobre o assunto - que inclui também um estudo com análise de código rodando em máquinas linux e windows - é o livro "Malware Forensics" - de James M. Aquilina, Eoghan Casey e Cameron H. Malin. 
