Community연구 & 데이터 분석github.com

wshobson/memory-forensics

메모리 포렌식 기술을 마스터하세요. 여기에는 메모리 수집, 프로세스 분석 및 Volatility 및 관련 도구를 사용한 아티팩트 추출이 포함됩니다. 메모리 덤프 분석, 사고 조사 또는 RAM 캡처에서 악성코드 분석을 수행할 때 사용하세요.

memory-forensics란 무엇인가요?

이 스킬은 메모리 포렌식(memory forensics)을 전문적으로 수행할 수 있도록 설계되었습니다. Volatility, Rekall, Redline과 같은 오픈소스 및 상용 도구를 활용하여 RAM 덤프에서 프로세스 목록, 네트워크 연결, 레지스트리 하이브, 암호 해시, 멀웨어 아티팩트 등 침해 지표(IoC)를 추출합니다. 주요 사용 사례는 침해 사고 대응, 악성코드 분석, 법정 증거 수집이며, 물리 메모리 이미지(.raw, .dmp, .vmem 등)를 입력으로 받아 다양한 Volatility 플러그인(pslist, netscan, cmdline, malfind 등)을 자동으로 실행하여 분석 결과를 구조화된 JSON 또는 CSV로 출력합니다. 이 스킬은 Windows, Linux, macOS 메모리 덤프를 모두 지원하며, 분석 워크플로우를 표준화하여 초보자도 전문가 수준의 포렌식 조사가 가능하게 합니다. 또한 메모리 아티팩트를 기반으로 한 타임라인 생성, 프로세스 트리 분석, DLL 인젝션 탐지 등 고급 기능을 포함합니다.

지원 대상~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/wshobson/agents/tree/main/skills/memory-forensics

Installed? Explore more 연구 & 데이터 분석 skills: affaan-m/uspto-database, affaan-m/scholar-evaluation, affaan-m/literature-review · View all 6 →

원본 보기→모든 스킬 둘러보기

즐겨 사용하는 AI에게 물어보기

이 에이전트 스킬이 미리 로드된 새 채팅을 엽니다.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

문서

memory-forensics은(는) 무엇을 하나요?

메모리 포렌식 기술을 마스터하세요. 여기에는 메모리 수집, 프로세스 분석 및 Volatility 및 관련 도구를 사용한 아티팩트 추출이 포함됩니다. 메모리 덤프 분석, 사고 조사 또는 RAM 캡처에서 악성코드 분석을 수행할 때 사용하세요.

개요

이 스킬은 메모리 포렌식 조사에 필요한 체계적인 접근 방식을 제공합니다. Volatility, Rekall, Redline과 같은 도구를 활용하여 RAM 스냅샷에서 중요한 포렌식 아티팩트를 추출하고 분석합니다.

지원 플랫폼

  • Volatility 2.x (Python 2)
  • Volatility 3 (Python 3, 권장)
  • Rekall (Google 포렌식 프레임워크)
  • Redline (FireEye/Mandiant)

필수 조건

  • 메모리 덤프 파일 (.raw, .dmp, .vmem, .mem, .bin 등)
  • 분석 환경: Python 3.6 이상, Volatility 3 설치
  • 충분한 디스크 공간 (덤프 크기의 최소 2배)

주요 기능

1. 메모리 수집

도구설명
FTK Imager라이브 메모리 수집 (Windows)
LiMELinux 메모리 수집 모듈
OSXPMemmacOS 메모리 수집
winpmemWindows 물리 메모리 수집

2. 프로세스 분석

# Volatility 3 - 프로세스 목록
volatility -f memory.dump windows.pslist.PsList

# 프로세스 트리 보기
volatility -f memory.dump windows.pstree.PsTree

# 프로세스 명령줄 인수
volatility -f memory.dump windows.cmdline.CmdLine

3. 네트워크 아티팩트

# 네트워크 연결 확인
volatility -f memory.dump windows.netscan.NetScan

# 열려있는 소켓
volatility -f memory.dump windows.sockets

4. 악성코드 탐지

# Malfind - 숨겨진 프로세스 및 DLL 인젝션 탐지
volatility -f memory.dump windows.malfind.Malfind

# DLL 목록
volatility -f memory.dump windows.dlllist.DllList

# API 후킹 탐지
volatility -f memory.dump windows.apihooks.ApHooks

5. 파일 및 레지스트리 분석

# 레지스트리 하이브 덤프
volatility -f memory.dump windows.registry.hivescan.HiveScan

# 파일 스캔
volatility -f memory.dump windows.filescan.FileScan

# TrueCrypt/Veracrypt 암호 키 검색
volatility -f memory.dump windows.truecrypt TrueCryptMaster

사용 예제

기본 분석 워크플로우

# 1단계: 프로필 식별 (Volatility 2)
volatility -f memory.raw imageinfo

# 2단계: 프로세스 목록 확인
volatility -f memory.raw --profile=Win7SP1x64 pslist

# 3단계: 네트워크 연결 확인
volatility -f memory.raw --profile=Win7SP1x64 netscan

# 4단계: 의심 프로세스 덤프
volatility -f memory.raw --profile=Win7SP1x64 memdump -p [PID] -D ./output/

# 5단계: 악성코드 분석
volatility -f memory.raw --profile=Win7SP1x64 malfind -D ./output/

Volatility 3 (권장)

# Volatility 3로 프로필 자동 탐지
volatility -f memory.dump windows.info

# 모든 정보 한 번에 출력
volatility -f memory.dump windows.netscan windows.pslist windows.malfind

고급 기능

  • 타임라인 생성: timeliner 플러그인을 사용하여 모든 이벤트 타임스탬프 추출
  • 암호 해시 덤프: hashdump 플러그인으로 SAM 하이브에서 NTLM 해시 추출
  • LSA 비밀 덤프: lsadump 플러그인으로 LSA 비밀 추출
  • 크로스 뷰 분석: psxview로 프로세스 목록 간 차이 비교

주의 사항

  • 메모리 포렌식은 법정 증거 수집을 목적으로 할 경우 체인 오브 커스터디(Chain of Custody)를 유지하세요.
  • 분석 환경은 안전한 격리된 시스템에서 수행하세요.
  • 원본 메모리 덤프는 절대 수정하지 말고 항상 사본을 만들어 분석하세요.

참고 링크

이 스킬은 교육 및 합법적인 포렌식 조사 목적으로만 사용해야 합니다.

Individual skills in this repo

This repo contains 20 individual skills — each has its own dedicated page.

wshobson/accessibility-compliance

Implement WCAG 2.2 compliant interfaces with mobile accessibility, inclusive design patterns, and assistive technology support. Use when auditing accessibility, implementing ARIA patterns, building for screen readers, or ensuring inclusive user experiences.

wshobson/airflow-dag-patterns

Build production Apache Airflow DAGs with best practices for operators, sensors, testing, and deployment. Use when creating data pipelines, orchestrating workflows, or scheduling batch jobs.

wshobson/angular-migration

Migrate from AngularJS to Angular using hybrid mode, incremental component rewriting, and dependency injection updates. Use when upgrading AngularJS applications, planning framework migrations, or modernizing legacy Angular code.

wshobson/anti-reversing-techniques

Understand anti-reversing, obfuscation, and protection techniques encountered during software analysis. Use this skill when analyzing malware evasion techniques, when implementing anti-debugging protections for CTF challenges, when reverse engineering packed binaries, or when building security research tools that need to detect virtualized environments.

wshobson/api-design-principles

Master REST and GraphQL API design principles to build intuitive, scalable, and maintainable APIs that delight developers. Use when designing new APIs, reviewing API specifications, or establishing API design standards.

wshobson/architecture-decision-records

Write and maintain Architecture Decision Records (ADRs) following best practices for technical decision documentation. Use when documenting significant technical decisions, reviewing past architectural choices, or establishing decision processes.

wshobson/architecture-patterns

Implement proven backend architecture patterns including Clean Architecture, Hexagonal Architecture, and Domain-Driven Design. Use this skill when designing clean architecture for a new microservice, when refactoring a monolith to use bounded contexts, when implementing hexagonal or onion architecture patterns, or when debugging dependency cycles between application layers.

wshobson/async-python-patterns

Master Python asyncio, concurrent programming, and async/await patterns for high-performance applications. Use when building async APIs, concurrent systems, or I/O-bound applications requiring non-blocking operations.

wshobson/attack-tree-construction

Build comprehensive attack trees to visualize threat paths. Use when mapping attack scenarios, identifying defense gaps, or communicating security risks to stakeholders.

wshobson/auth-implementation-patterns

Master authentication and authorization patterns including JWT, OAuth2, session management, and RBAC to build secure, scalable access control systems. Use when implementing auth systems, securing APIs, or debugging security issues.

wshobson/avoid-ai-writing

Audit and rewrite prose so it stops reading as machine-generated. Use this skill when asked to remove AI-isms, clean up AI writing, edit a draft for AI tells, audit a README, changelog, release note, PR description, or blog post for machine-sounding prose, or make text sound less like AI. Supports a detect-only mode, a rewrite mode, and an edit-in-place mode, with optional voice and context profiles.

wshobson/backtesting-frameworks

Build robust backtesting systems for trading strategies with proper handling of look-ahead bias, survivorship bias, and transaction costs. Use when developing trading algorithms, validating strategies, or building backtesting infrastructure.

wshobson/bash-defensive-patterns

Master defensive Bash programming techniques for production-grade scripts. Use when writing robust shell scripts, CI/CD pipelines, or system utilities requiring fault tolerance and safety.

wshobson/bats-testing-patterns

Master Bash Automated Testing System (Bats) for comprehensive shell script testing. Use when writing tests for shell scripts, CI/CD pipelines, or requiring test-driven development of shell utilities.

wshobson/bazel-build-optimization

Optimize Bazel builds for large-scale monorepos. Use when configuring Bazel, implementing remote execution, or optimizing build performance for enterprise codebases.

wshobson/before-you-build

Pre-build product and feature risk review for founders, product managers, and AI-assisted builders. Use this skill when the user is about to build a landing page, MVP, SaaS product, internal tool, agent workflow, or major feature and needs to check demand, positioning, monetization, retention, trust, distribution, and adoption risk before implementation starts.

wshobson/billing-automation

Build automated billing systems for recurring payments, invoicing, subscription lifecycle, and dunning management. Use when implementing subscription billing, automating invoicing, or managing recurring payment systems.

wshobson/binary-analysis-patterns

Master binary analysis patterns including disassembly, decompilation, control flow analysis, and code pattern recognition. Use when analyzing executables, understanding compiled code, or performing static analysis on binaries.

wshobson/block-no-verify-hook

Configure a PreToolUse hook to prevent AI agents from skipping git pre-commit hooks with --no-verify and other bypass flags. Use when setting up Claude Code projects that enforce commit quality gates.

wshobson/brand-landingpage

Brand-first landing page designer — runs a brand-identity interview (colors, typography, shape language), then generates and iterates on a polished landing page via Stitch with deployment-ready HTML. Use when the user asks to create, design, or build a landing page, homepage, or marketing page and has no established visual direction. Skip when they have a design mockup, need a dashboard or app UI, are working at component level, building a multi-page app, or restyling with known design tokens — use frontend-design instead.

관련 스킬

affaan-m/uspto-database

USPTO patent and trademark data workflow for official record lookup, PatentSearch queries, TSDR checks, assignment data, and reproducible IP research logs.

community

affaan-m/scholar-evaluation

Structured scholarly-work evaluation for papers, proposals, literature reviews, methods sections, evidence quality, citation support, and research-writing feedback.

community

affaan-m/literature-review

Systematic literature-review workflow for academic, biomedical, technical, and scientific topics, including search planning, source screening, synthesis, citation checks, and evidence logging.

community

affaan-m/everything-claude-code

The agent harness performance optimization system. Skills, instincts, memory, security, and research-first development for Claude Code, Codex, Opencode, Cursor and beyond.

community

forrestchang/andrej-karpathy-skills

Agent skill repository discovered by 10x-chat research.

community

langgenius/backend-code-review

Review backend code for quality, security, maintainability, and best practices based on established checklist rules. Use when the user requests a review, analysis, or improvement of backend files (e.g., `.py`) under the `api/` directory. Do NOT use for frontend files (e.g., `.tsx`, `.ts`, `.js`). Supports pending-change review, code snippets review, and file-focused review.

community
← More 연구 & 데이터 분석 skills