علم الأدلة الجنائية للذاكرة

حتى أوائل العقد الأول من القرن الحادي والعشرين، كان تحليل بيانات الذاكرة يتم بشكل غير منظم (يُسمى التحليل غير المهيكل )، وغالبًا باستخدام أدوات تحليل بيانات عامة مثل strings و grep . ^{[ 1 ]} هذه الأدوات ليست مصممة خصيصًا لتحليل بيانات الذاكرة، ولذلك يصعب استخدامها. كما أنها توفر معلومات محدودة. وبشكل عام، يقتصر استخدامها الأساسي على استخراج النصوص من ملف تفريغ الذاكرة. ^{[ 2 ]}

تُتيح العديد من أنظمة التشغيل لمطوري النواة والمستخدمين النهائيين إمكانية إنشاء لقطة من الذاكرة الفعلية لأغراض تصحيح الأخطاء (مثل تفريغ الذاكرة الأساسية أو شاشة الموت الزرقاء ) أو لتحسين تجربة المستخدم (مثل وضع الإسبات ). في حالة نظام التشغيل مايكروسوفت ويندوز ، كانت ميزة تفريغ الذاكرة عند التعطل ووضع الإسبات موجودة منذ إصدار مايكروسوفت ويندوز إن تي . لطالما كان بالإمكان تحليل ملفات تفريغ الذاكرة عند التعطل باستخدام برنامج مايكروسوفت وين دي بي جي ، كما يُمكن الآن تحويل ملفات وضع الإسبات في ويندوز ( hiberfil.sys ) إلى ملفات تفريغ الذاكرة عند التعطل باستخدام أدوات مثل مجموعة أدوات ذاكرة ويندوز من مون سولز، التي صممها ماثيو سويش .

كانت إحدى الخطوات المهمة نحو التحليل المنظم مقالة نُشرت في فبراير 2004 في مجلة SysAdmin، حيث عرض مايكل فورد ممارسة أكثر دقة في مجال الطب الشرعي للذاكرة. ^{[ 3 ]} في تلك المقالة، قام بتحليل برنامج خبيث من نوع rootkit يعتمد على الذاكرة باستخدام أداة Linux crash الموجودة ، بالإضافة إلى أداتين تم تطويرهما خصيصًا لاستعادة وتحليل الذاكرة بشكل جنائي، وهما memget وmempeek.

في عام ٢٠٠٥، أطلقت DFRWS تحديًا في مجال التحليل الجنائي للذاكرة. ^{[ ٤ ]} واستجابةً لهذا التحدي، تم تطوير المزيد من الأدوات في هذا الجيل، المصممة خصيصًا لتحليل ملفات تفريغ الذاكرة، مثل MoonSols وKntTools وFATKit وVolaTools و Volatility . ^{[ ١ ]} كانت هذه الأدوات على دراية ببنية البيانات الداخلية لنظام التشغيل ، وبالتالي كانت قادرة على إعادة بناء قائمة عمليات نظام التشغيل ومعلومات العمليات. ^{[ ٤ ]}

على الرغم من أنها صُممت كأدوات بحثية، إلا أنها أثبتت أن التحليل الجنائي للذاكرة على مستوى نظام التشغيل أمر ممكن وعملي. ^{[ 1 ]}

لاحقًا، طُوِّرت العديد من أدوات تحليل الذاكرة لأغراض عملية. تشمل هذه الأدوات أدوات تجارية مثل Responder PRO و Memoryze و winen و Belkasoft Live RAM Capturer وغيرها. أُضيفت ميزات جديدة، مثل تحليل ملفات تفريغ الذاكرة لأنظمة Linux وMac OS X، كما أُجريت أبحاث أكاديمية مكثفة في هذا المجال. ^{[ 5 ] [ 6 ]}

على عكس نظام التشغيل مايكروسوفت ويندوز، فإن الاهتمام بنظام التشغيل ماك أو إس إكس جديد نسبيًا ولم يبدأ إلا بواسطة ماثيو سويش ^{[ 7 ]} في عام 2010 خلال مؤتمر بلاك هات بريفينجز الأمني.

حالياً، يعتبر التحليل الجنائي للذاكرة عنصراً أساسياً في الاستجابة للحوادث . ^{[ 1 ]}

ابتداءً من عام 2010، ركزت المزيد من الأدوات المساعدة على جانب التصور لتحليل الذاكرة، مثل MoonSols LiveCloudKd الذي قدمه [ ^{8 ] ماثيو} سويش في مؤتمرات مايكروسوفت بلوهات الأمنية والذي ألهم ^{[ 9 ]} ميزة جديدة في Microsoft LiveKd كتبها مارك روسينوفيتش ^{[ 10 ]} للسماح بفحص الأجهزة الافتراضية من خلال الوصول إلى ذاكرة الجهاز الافتراضي الضيف من الجهاز الافتراضي المضيف إما لتحليلها مباشرة بمساعدة Microsoft WinDbg أو للحصول على تفريغ للذاكرة بتنسيق ملف تفريغ الأعطال من مايكروسوفت.