memory-forensics
Анализ дампов памяти с помощью Volatility
Рамочная форензика (memory forensics) необходима для обнаружения продвинутых угроз, которые обходят анализ на диске. Этот навык предоставляет комплексное руководство по получению дампов памяти и их анализу с помощью Volatility 3 для извлечения артефактов, обнаружения малвари и расследования инцидентов.
下载技能 ZIP
在 Claude 中上传
前往 设置 → 功能 → 技能 → 上传技能
开启并开始使用
测试它
正在使用“memory-forensics”。 Как проанализировать дамп памяти на наличие сетевых подключений?
预期结果:
Используйте Volatility 3 windows.netscan для списка сетевых подключений. Для файла дампа памяти с именем 'memory.raw', выполните: vol -f memory.raw windows.netscan. Это покажет активные подключения, включая локальные/удаленные адреса, порты и состояние. Используйте windows.netstat для информации о состоянии подключения.
正在使用“memory-forensics”。 Какой рабочий процесс для анализа малвари в памяти?
预期结果:
Следуйте этому рабочему процессу: (1) Запустите windows.pstree и windows.pslist для обзора процессов, (2) Используйте windows.netscan для сетевых артефактов, (3) Запустите windows.malfind для обнаружения внедрения кода, (4) Анализируйте подозрительные процессы с помощью windows.dlllist, (5) Скиньте подозрительные исполняемые файлы с помощью pslist --pid <PID> --dump, (6) Извлеките строки и запустите сканирование YARA.
安全审计
安全This is a legitimate defensive security documentation skill for memory forensics. All 86 static findings are false positives: command examples are documentation for forensic tools (Volatility, WinPmem, LiME), Cobalt Strike references are YARA detection rules for defensive use, and privilege escalation patterns are standard forensic acquisition techniques. Safe for marketplace publication.
风险因素
检测到的模式
质量评分
你能构建什么
Расследование инцидентов
Анализ дампа памяти скомпрометированной системы для идентификации вредоносных процессов, сетевых подключений и механизмов сохранения, используемых атакующими.
Извлечение артефактов малвари
Извлечение подозрительных исполняемых файлов и полезных нагрузок из памяти процессов для дальнейшего анализа в изолированной среде.
Корпоративный форензик-анализ
Выполнение систематической рамочной форензики как части более широкого форензик-расследования для установления временных шкал и идентификации активности атакующего.
试试这些提示
Мне нужно получить память из системы Windows 10 для форензик-анализа. Какие инструменты я должен использовать и какие рекомендуемые команды?
У меня есть файл дампа памяти. Как использовать Volatility 3 для списка всех запущенных процессов и идентификации скрытых или подозрительных процессов?
Какие команды Volatility могут помочь мне обнаружить внедрение кода и внедрение DLL в дампе памяти Windows?
Как извлечь хеши паролей и секреты LSA из дампа памяти Windows с помощью Volatility?
最佳实践
- Всегда получайте память сначала перед любым анализом диска для сохранения энергозависимых данных
- Вычисляйте хеш дампов памяти сразу после получения для сохранения цепочки хранения
- Используйте несколько плагинов Volatility для перекрестной ссылки результатов и проверки данных
- Документируйте все команды, метки времени и находки на протяжении всего анализа
避免
- Не анализируйте дампы памяти в той же системе, которая их сгенерировала, чтобы избежать загрязнения
- Не полагайтесь на результат одного плагина - всегда делайте перекрестную ссылку с альтернативными плагинами
- Не пропускайте конфигурацию таблицы символов - неправильные символы приводят к ложным отрицательным результатам