メモリイメージ解析（プロセス、モジュール、マルウェア兆候）

Volatility 3を使用したメモリイメージ（プロセス、モジュール、マルウェア兆候）の解析

キャプチャしたRAMイメージを検査し、プロセス、モジュール、ハンドル、および不審なメモリ内動作を列挙してから、エスカレーションまたは証拠提出を行います。

前提条件

Volatility 3 CLI、Python 3.8+環境、サポート対象のメモリイメージファイル、ターゲットOSに応じたオプションのシンボルパック

インストール

環境に合わせてアップストリームのインストール方法またはセットアップパスを使用してください。

• pip install --user -e ".[full]"
• pip install volatility3
• git clone https://github.com/volatilityfoundation/volatility3.git
• pip install -e ".[dev]"

アップストリームからの要件と注意事項：

• 一部のコマンドは他のオプションも必要とするか受け付けます。特定のコマンドの詳細については、vol <plugin> -h を実行してください。
• Volatility 3にはPython 3.8.0以降が必要であり、PyPiレジストリで公開されています。
• 重要：新しいシンボルファイルを使用してVolatilityを初めて実行する場合は、キャッシュを更新する必要があります。シンボルパックには多数のシンボルファイルが含まれているため、更新に時間がかかる場合があります。

基本的な使用方法または開始手順：

• 必要な依存関係をインストールします。

• shellコマンドで利用可能なオプションを確認します。

• ソース：https://github.com/volatilityfoundation/volatility3

• アップストリームドキュメントからの抜粋：https://raw.githubusercontent.com/volatilityfoundation/volatility3/HEAD/README.md

ドキュメント

• https://volatility3.readthedocs.io/en/latest/

ソース

• Agent Skill Exchange