Основы криминалистики оперативной памяти (Memory Forensics)
Изучите основы криминалистики оперативной памяти, анализируя данные, которые существуют только во время работы системы. Некоторые из наиболее ценных данных для реагирования на инциденты — включая активные процессы, текущие сетевые соединения, пароли в открытом виде и артефакты вредоносного ПО в памяти — никогда не записываются на диск в пригодном для анализа виде. Этот курс научит вас снимать дампы памяти, проводить быструю первичную оценку (triage) и использовать Volatility для систематического исследования энергозависимых данных.
Почему это важно
Криминалистика оперативной памяти — это зачастую самый быстрый способ понять суть активного взлома. Артефакты на диске показывают, что осталось после атаки, но оперативная память (RAM) может раскрыть то, что происходит прямо сейчас или происходило за мгновения до снятия дампа. Это делает анализ памяти критически важным для реагирования на инциденты и экспресс-анализа вредоносного ПО.
Данный курс сфокусирован на практической работе с энергозависимыми данными. Вы научитесь создавать образ оперативной памяти, быстро искать в нем явные индикаторы компрометации, а затем использовать Volatility для извлечения информации о процессах и сетевой активности для более глубокого анализа.
Чему вы научитесь
- Снимать дамп оперативной памяти с работающей системы, сохраняя целостность энергозависимых данных.
- Проводить быструю первичную оценку (triage) «сырого» образа памяти с помощью простых инструментов командной строки.
- Использовать Volatility для проверки процессов, сетевых соединений и скрытой активности.
- Понимать, какие типы данных чаще всего встречаются только в оперативной памяти.
- Исследовать реальные инциденты, используя четкий рабочий процесс анализа памяти.
План курса
- Извлечение данных из памяти: Создание образа оперативной памяти работающей системы.
- Анализ памяти с помощью strings: Использование методов быстрой оценки для выявления очевидных индикаторов в «сырых» данных.
- Введение в Volatility: Применение плагинов Volatility для исследования процессов и сетевых артефактов.
- Практика: Live Triage: Снятие и анализ дампа памяти во время активного инцидента для обнаружения скрытой вредоносной активности.
Для кого этот курс
- Для специалистов, переходящих от дисковой криминалистики к оперативному реагированию на инциденты.
- Для сотрудников групп реагирования (Incident Responders), которым необходимо освоить рабочие процессы анализа памяти.
- Для аналитиков безопасности, занимающихся расследованием вредоносного ПО, скрытых процессов или подозрительной сетевой активности.
Результаты обучения
По окончании курса вы сможете снимать и исследовать дампы оперативной памяти, извлекать значимые индикаторы процессов и сетевых соединений, а также использовать анализ памяти для повышения эффективности расследования инцидентов безопасности.
