सिर्फ disk के बजाय memory आप कब capture करेंगे, और उसमें क्या मिलने की उम्मीद रखते हैं?

जब भी संदिग्ध गतिविधि fileless, encrypted या injected हो तब memory capture करें, और हमेशा तब भी जब आप मशीन बंद करने वाले हों या इस तरह अलग करने वाले हों कि session खत्म हो जाए। memory से चलते हुए process और उनके parent, injected कोड, decrypt हो चुके payload और configuration, चालू network connection, loaded module और अक्सर credential सामग्री मिलती है। volatility के क्रम का पालन करें (पहले memory और नेटवर्क की स्थिति, फिर disk) और जुटाते वक्त हर चीज का hash लें।

मेरा trigger कोई भी ऐसी चीज है जो बताए कि malicious कोड disk पर पढ़ने लायक रूप में नहीं बैठा है: injected thread, packed या encrypted payload, script आधारित execution, या कोई जिंदा command and control session। ऐसे मामलों में disk की copy मुझे बहुत कम बताती है और memory लगभग सब कुछ। मैं volatility का क्रम मानता हूं, तो पहले memory और मौजूदा network connection, फिर disk image, क्योंकि अलग करने या बंद करने से अस्थिर हिस्सा नष्ट हो जाता है। किसी image से मुझे parent और command line समेत चलते हुए process, ऐसे injected या hollowed क्षेत्र जो disk की किसी फाइल से मेल नहीं खाते, command and control के address समेत decrypt हो चुका configuration, किसी process से जुड़े network connection, और अक्सर credential सामग्री मिलने की उम्मीद रहती है। मैं removable media से किसी signed tool के जरिये जुटाता हूं, किसी बाहरी target पर लिखता हूं, तुरंत hash लेता हूं, और case notes में ठीक ठीक कदम और timestamp दर्ज करता हूं। एक जांच में command and control का domain सिर्फ एक memory string में मौजूद था, क्योंकि loader उसे खींच लाया था और उसने उसे कहीं लिखा ही नहीं।