Informática forense – Windows

Análisis forense de volcados de memoria de Windows: evaluación de datos volátiles de la memoria RAM

La memoria de trabajo (RAM) contiene, durante el funcionamiento, gran cantidad de información volátil que se pierde al apagar el sistema. Los volcados de memoria permiten analizar el estado de la memoria en el momento en que se realiza la copia de seguridad y pueden proporcionar indicios sobre los procesos en ejecución, las conexiones de red, los controladores cargados o el software malicioso.

Esta imagen de memoria también se conoce como «volcado de RAM». Dependiendo del momento en que se realice la copia de seguridad, puede contener, además de los procesos en ejecución y las conexiones de red activas, datos descifrados, módulos cargados y componentes de malware.

Solicitar información sin compromiso

Un análisis profesional nunca se realiza de forma aislada. Solo la correlación con los artefactos del sistema de archivos, los datos del Registro, los registros de eventos, los archivos de precarga y otros rastros digitales permite realizar una evaluación técnica fiable.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis se lleva a cabo exclusivamente sobre una copia forense o una imagen forense. Las imágenes de memoria se guardan de forma que se garantice su validez como prueba y todos los pasos del análisis se documentan de forma que puedan rastrearse. La prueba original permanece inalterada y se conserva de forma que se garantice su validez como prueba.

Nuestros servicios

Análisis de imágenes de la memoria, investigación de procesos en ejecución, conexiones de red, DLL, identificadores, código inyectado, indicadores de malware, así como documentación completa de todos los pasos de la investigación.

Ámbitos de aplicación habituales

•Respuesta ante incidentes
•Investigaciones sobre malware y rootkits
•Análisis de los procesos en curso
•Reconstrucción de estados transitorios del sistema
•Procedimientos en materia de derecho laboral
•Informes periciales

Así es como se lleva a cabo el análisis

Una vez realizada una copia de seguridad fiable de la memoria de trabajo, se analizan las estructuras de memoria pertinentes y se correlacionan con otros artefactos de Windows.

¿Por qué son importantes los volcados de memoria?

Pueden contener información que ya no estará disponible tras reiniciar o apagar el sistema. Por ello, en muchas investigaciones constituyen un complemento importante de los indicios persistentes almacenados en soportes de datos.

Preguntas frecuentes

¿Qué información pueden contener los volcados de memoria?+
Dependiendo de la situación, entre otros, procesos en ejecución, conexiones de red, objetos de almacenamiento y otros datos volátiles.
¿Siempre es posible realizar una copia de seguridad de la memoria RAM?+
No. Para ello es necesario que el sistema siga encendido y que se pueda realizar una copia de seguridad apta para análisis forense.
¿Se trabaja con el soporte de datos original?+
No. Solo se analiza una copia forense o una imagen forense; las imágenes de memoria se guardan por separado.
¿Bastan los volcados de memoria por sí solos para un informe pericial?+
No. Siempre se analizan junto con otros elementos de Windows.

LanCologne – Análisis forense de Windows en Colonia

¿Necesita un análisis profesional de volcados de memoria de Windows u otros artefactos de Windows? LanCologne le ayuda a obtener pruebas digitales admisibles en los tribunales, así como a realizar un análisis objetivo de sistemas Windows complejos.

Ponte en contacto con nosotros ahora