Утилита для безопасного захвата содержимого оперативной памяти для цифровой криминалистики
Утилита для безопасного захвата содержимого оперативной памяти для цифровой криминалистики
Голосов (Голосов: 5)
Лицензия для программы Бесплатно
Разработчик Belkasoft
Версия 1
Операционная система Windows
Голосов
(Голосов: 5)
Разработчик
Belkasoft
Операционная система
Windows
Лицензия для программы
Бесплатно
Версия
1
Belkasoft RAM Capturer (также встречается как Belkasoft Live RAM Capturer) это небольшая бесплатная форензик-утилита для безопасного снятия полного дампа оперативной памяти на компьютерах под Windows, чтобы сохранить летучие данные для последующего анализа.
Она рассчитана на тех, кто занимается цифровой криминалистикой и реагированием на инциденты, когда нужно быстро зафиксировать содержимое RAM как источник доказательств.
Зачем она нужна в форензике
Оперативная память хранит данные, которые могут исчезнуть сразу после выключения или перезапуска системы. Дамп RAM часто содержит ценные фрагменты летучей информации, включая сведения, связанные с доступом к зашифрованным томам (например, TrueCrypt, BitLocker, PGP Disk), а также учетные данные для веб-почты, социальных сетей и облачных сервисов.
Съем дампа, когда приложения пытаются защититься
Сильная сторона Belkasoft RAM Capturer в том, что она ориентирована на работу в условиях активной защиты от отладки и снятия дампа. Инструмент использует драйвер, работающий в режиме ядра, благодаря чему может получать содержимое памяти даже тогда, когда на системе включены анти-отладочные или анти-dumping механизмы.
Формат работы и совместимость
Утилита выпускается в вариантах 32-bit и 64-bit, с акцентом на минимальный след при запуске. Заявлена совместимость со всеми версиями и редакциями Windows, включая Windows XP, Vista, Windows 7, Windows 8, Windows 10, а также Windows Server 2003 и 2008.
Анализ полученного образа
Снятый дамп памяти можно разбирать в Belkasoft Evidence Center с использованием функции анализа RAM. Это делает RAM Capturer логичным компонентом процесса, где сначала фиксируют летучие данные, а затем переходят к разбору артефактов.
Плюсы
- Бесплатный инструмент для форензики.
- Снимает полный дамп оперативной памяти.
- Работает даже при активной анти-отладке или анти-dumping защите за счет режима ядра.
- Есть сборки 32-bit и 64-bit с фокусом на минимальный след.
- Совместим с широким набором версий Windows, включая XP, Vista, 7, 8, 10 и Server 2003/2008.
Минусы
- Утилита предназначена именно для захвата памяти, а анализ дампа выполняется отдельно, например в Belkasoft Evidence Center.
- Ориентирована на Windows, что сужает применимость в смешанных средах.
