Computer-Forensik - Probleme mit Dumps in Volatility

W

web-codex

0
Hallo Leute,

ich suche jemanden, der sich mit dem Memory-Forensik-Tool Volatility auskennt. Und zwar interessiert mich das Thema sehr und habe auch schon einiges mit .vmem-Beispiel-Dateien ausprobiert. Leider komme ich nicht weiter, wenn ich Memory-Dumps mit DumpIT (.raw-Images) oder .mem-Dateien mit RamCapture64 erstelle.

In mehreren Videos werden Beispiele mit .vmem-Dateien aus der VMWare-Reihe gezeigt. Das läuft bei mir auch (Dateien sind auch nicht wirklich groß), jedoch wenn ich eigene Images erstelle, werden die Dumps immer ca. 16GB groß.

Jetzt habe ich auch ein nicht gerade langsames System, jedoch wenn ich ein Dump wähle, geht nix weiter. Arbeiten tut mein System, Laut Berechnung müsste ich den Dump folglich 45 Minuten bis 1 Stunde scannen, nur um das passende Profil zu ermitteln.

Jetzt meine Frage, ob das normal ist oder ob es andere Wege gibt einen Live-Dump zu erstellen und daraus Erkenntnisse zu gewinnen? Natürlich gibt es verschiedene Software die man aber zuerst installieren muss (Installation will ich beim Quellsystem vermeiden). Jedoch wenn ich zum Beispiel ein kompromittiertes System vor mir habe, möchte ich einen Memory-Live-Dump erstellen und dieses auf einem sauberen System analysieren.

Deswegen würde ich gerne Volatility verwenden.


Wäre super, wenn mir jemand seine Erfahrungen erzählen könnte. Mich interessiert vor allem, ob das Scannen der Dump-Datei wirklich immer so lange braucht.

Danke euch! :)
 
Ich bin selbst nicht unbedingt in der Forensik bewandert, habe aber in meinem Freundeskreis ein paar Personen, die beruflich in diesem Bereich zu tun haben. Von denen weiss ich, dass sie aufgrund der Rechenintensität mancher Vorgänge häufiger Aufgaben in die Cloud auslagern. Tools wie UFED haben dafür sogar mittlerweile exta Funktionen parat.
Tools wie DumpIT speichern meines Wissens nach RAM-Abbilder komplett ab. Die Größe des Images sollte dadurch logischerweise mit der Größe des RAMs steigen. Allerdings wird ja nicht immer der RAM komplett vom System genutzt. Dementsprechend dürften solche Dumps auch jede Menge leere Daten enthalten. Die Dauer der Analyse hängt somit nicht nur von der Größe des Dumps ab, auch wenn diese von den Analysetools als Grundlage für die Berechnung der wahrscheinlichen Dauer verwendet wird, sondern auch davon wie viele Daten tatsächlich im Dump enthalten sind. Null-Bytes können vermutlich schneller abgearbeitet werden. Ich würde daher nicht allzu viel auf die berechnete Dauer geben.
 
Vielen Dank für die Antwort!

Sorry, dass ich mich jetzt erst melde.
Ich werde dies mal ausführlicher testen.
Nun zu Testzwecken werde ich mal ein Dump von einem System verwenden, dass weniger Arbeitsspeicher besitzt.
Ich lasse das System dann einfach mal laufen.

Gibt es ein Tool womit man nur den belegten Arbeitsspeicher dumpen kann?
DumpIt macht nur den kompletten Arbeitsspeicher.

Wenn ich den Dump so gestalten kann, dass ich Leerdaten vermeide, kann ich die Verarbeitungszeit deutlich verkürzen.

Danke! :)
 
Zuletzt bearbeitet:
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben