Memory forensics — ishlayotgan yoki yaqinda ishlagan tizimning tezkor xotira tasvirini yig‘ish va tahlil qilish orqali jarayonlar, tarmoq ulanishlari, zararli kod hamda vaqtinchalik artefaktlarni aniqlash usulidir. RAM diskda bo‘lmagan kalitlar, injeksiya qilingan kod, ochiq socket va shifrlanmagan ma’lumotni saqlashi mumkin.
Xotira tasvirini olish
Acquisition vositasi fizik xotirani imkon qadar kam o‘zgartirib faylga ko‘chiradi. Ishlayotgan tizimdan dalil olishning o‘zi yangi driver, jarayon va buffer yaratadi; bu ta’sir hujjatlashtiriladi. Tasvir vaqti, vosita versiyasi, qurilma identifikatori va kriptografik xesh chain of custody tarkibida qayd etiladi.
Virtual mashinada hypervisor snapshot yoki memory dump olish qulay, ammo snapshotning crash-consistent yoki live holati tahlilga ta’sir qiladi. Hibernation fayli, crash dump va swap ham xotira artefakti manbai bo‘lishi mumkin. To‘liq disk nusxasi RAM o‘rnini bosmaydi, chunki ko‘p holat faqat volatile xotirada yashaydi.
Tuzilmalarni tiklash
Forensika vositasi operatsion tizim versiyasi va yadro tuzilmalarini bilib, jarayon ro‘yxati, modul, handle, thread va tarmoq obyektlarini ajratadi. Faol ro‘yxatni ko‘rish yetarli emas: rootkit jarayonni standart ro‘yxatdan yashirishi mumkin. Pool scanning xotiradan obyekt signaturalarini topib, rasmiy ro‘yxat bilan solishtiradi.
Virtual manzillarni fizik sahifalarga tarjima qilish uchun sahifa jadvallari va jarayon konteksti kerak. Noto‘g‘ri profil yoki symbol natijani xato talqin qiladi. Zamonaviy tizimlarda KASLR va himoya mexanizmlari avtomatik tahlilni murakkablashtiradi.
Zararli faoliyat izlari
Tahlilchi executable sahifalar, noodatiy parent-child zanjiri, unsigned modul, hollowing va boshqa process injection belgilarini izlaydi. Buyruq tarixi, clipboard, konsol buffer va brauzer artefaktlari hodisa vaqt chizig‘ini boyitishi mumkin. Xotiradan topilgan satr yakka holda kod bajarilganini isbotlamaydi; u ozod qilingan bufferda qolgan bo‘lishi mumkin.
Tarmoq obyektlari faol va yaqinda yopilgan ulanishlarni ko‘rsatadi. Socket manzili threat intelligence bilan solishtiriladi, ammo umumiy cloud IP ko‘plab qonuniy xizmatga tegishli bo‘lishi mumkin. Jarayon, modul, vaqt va tarmoq konteksti birga baholanadi.
Cheklov va xavfsizlik
RAM hajmi katta bo‘lgani uchun saqlash, indekslash va tahlil resurs talab qiladi. Xotira tasviri parol, token, shaxsiy xabar va kriptografik kalit saqlashi mumkin; u yuqori darajadagi maxfiy dalil sifatida shifrlanadi va kirish cheklanadi. Tahlil nusxada bajarilib, asl tasvir o‘zgarmas saqlanadi.
Memory forensics barcha hodisada birinchi qadam emas. Tizimni o‘chirish faol zararli kodni to‘xtatishi mumkin, lekin volatile dalilni yo‘qotadi. Incident commander biznes zarari, davom etayotgan exfiltration va dalil qiymatini hisobga olib acquisition yoki darhol containmentni tanlaydi.
Timeline va korrelyatsiya
Xotira snapshot bitta vaqt nuqtasini beradi. Jarayon start vaqti, loaded module, socket hamda command history disk jurnali, EDR va tarmoq telemetriyasi bilan bog‘lanadi. Tizim soati o‘zgargan bo‘lishi mumkinligi sabab UTC, timezone va monoton ketma-ketlik hisobga olinadi. Malware xotirada unpack qilingan holatda ko‘rinib, diskdagi fayldan farq qilishi mumkin; suspicious region alohida dump qilinib, xavfsiz laboratoriyada tahlil qilinadi. Xeshning threat bazada topilmasligi fayl toza degani emas. Natija kuzatilgan artefakt, tahlilchi inferensiyasi va tasdiqlangan fakt sifatida alohida belgilanadi.
Takror tahlil uchun plugin buyruqlari, filterlar va tool versiyalari yozib boriladi. Bir vosita topgan natija ikkinchi parser yoki qo‘lda struktura tekshiruvi bilan tasdiqlansa, noto‘g‘ri positive ehtimoli kamayadi. Tasvirga tahlil paytida yozilmaydi.
Bog‘liq tushunchalar
Digital forensics, Memory dump, Process injection, Rootkit, Chain of custody, Volatile data