memory-forensics
Volatility を使用したメモリダンプの分析
メモリフォレンジックは、ディスクベースの分析では検出できない高度な脅威を検出するために不可欠です。このスキルでは、メモリダンプの取得と Volatility 3 を使用した分析に関する包括的なガイダンスを提供し、アーティファクトの抽出、マルウェアの検出、インシデント調査を実施できます。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
テストする
「memory-forensics」を使用しています。 ネットワーク接続のためにメモリダンプを分析するにはどうすればよいですか？
期待される結果:
Volatility 3 の windows.netscan を使用してネットワーク接続を一覧表示します。'memory.raw' という名前のメモリダンプファイルの場合、vol -f memory.raw windows.netscan を実行します。これにより、ローカル/リモートアドレス、ポート、状態を含むアクティブな接続が表示されます。接続状態の情報については windows.netstat を使用します。
「memory-forensics」を使用しています。 メモリ内のマルウェアを分析するワークフローは何ですか？
期待される結果:
このワークフローに従ってください：(1) プロセスの概要については windows.pstree と windows.pslist を実行、(2) ネットワークアーティファクトについては windows.netscan を使用、(3) コードインジェクションを検出するために windows.malfind を実行、(4) windows.dlllist で疑わしいプロセスを分析、(5) pslist --pid <PID> --dump で疑わしい実行ファイルをダンプ、(6) 文字列を抽出して YARA スキャンを実行。
セキュリティ監査
安全This is a legitimate defensive security documentation skill for memory forensics. All 86 static findings are false positives: command examples are documentation for forensic tools (Volatility, WinPmem, LiME), Cobalt Strike references are YARA detection rules for defensive use, and privilege escalation patterns are standard forensic acquisition techniques. Safe for marketplace publication.
リスク要因
⚙️ 外部コマンド (10)
📁 ファイルシステムへのアクセス (4)
検出されたパターン
品質スコア
作れるもの
インシデントレスポンス調査
侵害されたシステムのメモリダンプを分析し、攻撃者が使用した悪意のあるプロセス、ネットワーク接続、永続化メカニズムを特定します。
マルウェアアーティファクトの抽出
プロセスメモリから疑わしい実行ファイルとペイロードを抽出し、サンドボックス環境でさらなる分析を行います。
エンタープライズフォレンジック分析
より広範なフォレンジック調査の一環として体系的なメモリフォレンジックを実行し、タイムラインを確立して攻撃者の活動を特定します。
これらのプロンプトを試す
I need to acquire memory from a Windows 10 system for forensic analysis. What tools should I use and what are the recommended commands?
I have a memory dump file. How do I use Volatility 3 to list all running processes and identify hidden or suspicious processes?
What Volatility commands can help me detect code injection and DLL injection in a Windows memory dump?
How do I extract password hashes and LSA secrets from a Windows memory dump using Volatility?
ベストプラクティス
- 揮発性データを保持するために、ディスク分析の前に常に最初にメモリを取得する
- 証拠保全の連鎖を維持するために、取得直後にメモリダンプをハッシュする
- 結果を相互参照して検証するために、複数の Volatility プラグインを使用する
- 分析を通じてすべてのコマンド、タイムスタンプ、調査結果を文書化する
回避
- 汚染を避けるために、生成元のシステムと同じシステム上でメモリダンプを分析しない
- 単一のプラグイン結果に依存しない - 常に代替プラグインで相互参照する
- シンボルテーブルの設定をスキップしない - 不正確なシンボルは誤検知につながる