Analyse de la mémoire vive avec LiME et Volatility

Que fait Analyse de la mémoire vive avec LiME et Volatility ?

Quand l'utiliser

• Lors d'enquêtes sur des incidents de sécurité nécessitant une analyse de la mémoire vive avec LiME et Volatility
• Lors de la création de règles de détection ou de requêtes de chasse aux menaces dans ce domaine
• Lorsque les analystes SOC ont besoin de procédures structurées pour ce type d'analyse
• Lors de la validation de la couverture de surveillance de sécurité pour les techniques d'attaque associées

Prérequis

• Familiarité avec les concepts et outils d'opérations de sécurité
• Accès à un environnement de test ou laboratoire pour une exécution sécurisée
• Python 3.8+ avec les dépendances nécessaires installées
• Autorisation appropriée pour toute activité de test

Instructions

Acquérir la mémoire Linux à l'aide du module kernel LiME, puis analyser avec Volatility 3 pour extraire les artefacts médico-légaux de l'image mémoire.

# Acquisition avec LiME
insmod lime-$(uname -r).ko "path=/evidence/memory.lime format=lime"

# Analyse avec Volatility 3
vol3 -f /evidence/memory.lime linux.pslist
vol3 -f /evidence/memory.lime linux.bash
vol3 -f /evidence/memory.lime linux.sockstat

import volatility3
from volatility3.framework import contexts, automagic
from volatility3.plugins.linux import pslist, bash, sockstat

# Utilisation programmatique de Volatility 3
context = contexts.Context()
automagics = automagic.available(context)

Étapes clés de l'analyse :

1. Acquérir la mémoire avec LiME (format=lime ou format=raw)
2. Lister les processus avec linux.pslist, comparer avec linux.psscan
3. Extraire l'historique des commandes bash avec linux.bash
4. Lister les connexions réseau avec linux.sockstat
5. Vérifier les modules kernel chargés avec linux.lsmod pour détecter les rootkits

Exemples

# Flux de travail médico-légal complet
vol3 -f memory.lime linux.pslist | grep -v "\[kthread\]"
vol3 -f memory.lime linux.bash
vol3 -f memory.lime linux.malfind
vol3 -f memory.lime linux.lsmod