Informatica forense – Windows

Analisi forense dei dump di memoria di Windows – Analisi dei dati volatili dalla memoria di lavoro

Durante il funzionamento, la memoria di lavoro (RAM) contiene numerose informazioni volatili che vanno perse allo spegnimento del sistema. I dump di memoria consentono di analizzare lo stato della memoria al momento del salvataggio e possono fornire indicazioni sui processi in esecuzione, sulle connessioni di rete, sui driver caricati o sulla presenza di malware.

Una tale immagine di memoria viene anche definita “dump della RAM”. A seconda del momento in cui viene effettuato il backup, oltre ai processi in esecuzione e alle connessioni di rete attive, può contenere anche dati decriptati, moduli caricati e componenti di malware.

Richiesta non vincolante

Un'analisi professionale non viene mai condotta in modo isolato. Solo la correlazione con gli artefatti del file system, i dati del Registro di sistema, i registri degli eventi, i file di prefetch e altre tracce digitali consente una valutazione tecnica attendibile.

Perché LanCologne?

Sin dalla sua fondazione, LanCologne si occupa principalmente di informatica forense professionale. I nostri collaboratori vantano un’esperienza pluridecennale nel settore delle tecnologie dell’informazione e assistono aziende, avvocati, privati e, regolarmente, anche i tribunali nell’accertamento tecnico di complesse questioni digitali.

L'analisi viene effettuata esclusivamente su una copia forense o su un'immagine forense. Le immagini di memoria vengono salvate in modo da garantirne la validità probatoria e tutte le fasi dell'analisi vengono documentate in modo tracciabile. Il materiale probatorio originale rimane inalterato e viene conservato in modo da garantirne la validità probatoria.

I nostri servizi

Analisi delle immagini della memoria di lavoro, esame dei processi in esecuzione, delle connessioni di rete, delle DLL, degli handle, del codice iniettato, degli indicatori di malware, nonché documentazione completa di tutte le fasi dell'analisi.

Campi di applicazione tipici

•Risposta agli incidenti
•Analisi di malware e rootkit
•Analisi dei processi in corso
•Ricostruzione degli stati transitori del sistema
•Procedimenti in materia di diritto del lavoro
•Perizie giudiziarie

Ecco come si svolge l'analisi

Dopo aver eseguito un backup sicuro della memoria di lavoro, le strutture di memoria rilevanti vengono analizzate e messe in relazione con altri artefatti di Windows.

Perché i dump di memoria sono importanti?

Possono contenere informazioni che non sono più disponibili dopo il riavvio o lo spegnimento del sistema. Per questo motivo, in molte indagini costituiscono un’importante integrazione agli artefatti persistenti presenti sui supporti di memorizzazione.

Domande frequenti

Quali informazioni possono contenere i memory dump?+
A seconda della situazione, tra l’altro: processi in esecuzione, connessioni di rete, oggetti di memoria e altri dati volatili.
È sempre possibile eseguire un backup della RAM?+
No. Ciò presuppone che il sistema sia ancora acceso e che sia possibile eseguire un backup idoneo ai fini forensi.
Si lavora con il supporto originale?+
No. Viene analizzata esclusivamente una copia forense o un’immagine forense; le immagini di memoria vengono salvate separatamente.
I memory dump sono sufficienti, da soli, per una perizia?+
No. Vengono sempre analizzati insieme ad altri artefatti di Windows.

LanCologne – Analisi forense di Windows a Colonia

Avete bisogno di un’analisi professionale dei dump di memoria di Windows o di altri artefatti di Windows? LanCologne vi supporta nella raccolta di prove digitali a valore probatorio in sede giudiziaria e nell’analisi oggettiva di sistemi Windows complessi.

Contattaci subito