Analyse de la mémoire

Qu'est-ce que la mémoire forensique ?

La mémoire forensique, également connue sous le nom d'analyse de la mémoire, est un type d'enquête numérique qui examine un appareil pour trouver des preuves de logiciels malveillants ou de cyberattaques.

Pour plonger dans la mémoire système d'un appareil, un logiciel de forensique numérique est utilisé pour créer un instantané, ou un vidage de mémoire, des données de la mémoire vive (RAM) pour analyse. Ces données volatiles sont temporaires et disparaissent une fois l'appareil éteint. Pour cette raison, un vidage de mémoire est le meilleur moyen de conserver un accès permanent à ces informations pour mener l'enquête.

Une fois récupérées, les enquêteurs en mémoire forensique prennent les données hors site et les évaluent pour détecter toute activité suspecte qui pourrait ne pas être apparente dans les seules données du disque dur. Les informations trouvées lors de l'analyse peuvent fournir des informations précieuses sur l'état du système avant que la sécurité ne soit compromise. À partir de là, ils déterminent leurs prochaines étapes.

Types de mémoire forensique

Bien que la mémoire forensique soit un type de technique d'enquête, elle peut prendre en charge plusieurs formats d'acquisition. Ceux-ci incluent :

• Format RAW. Lorsque l'activité malveillante est suspectée suffisamment tôt, éventuellement grâce à des approches de chasse aux menaces, les enquêteurs peuvent capturer un instantané de données directement à partir de l'environnement actif de l'appareil pour analyse. C'est le format le plus couramment utilisé en mémoire forensique.
• Vidage de crash. Si un appareil plante, ses données volatiles risquent d'être perdues, mais certains outils de forensique numérique peuvent récupérer ces informations à partir du système d'exploitation (OS) par la suite.
• Fichiers d'hibernation. Lorsqu'un appareil s'éteint en mode hibernation, certains contenus de la RAM sont sauvegardés pour la prochaine fois que l'appareil sera rallumé. Un fichier d'hibernation de ces informations est créé, ce qui signifie que les enquêteurs peuvent extraire le contenu de ce vidage de mémoire à partir de l'OS.
• Fichiers de pagination. Ces types de fichiers sont stockés dans la RAM du système et peuvent être copiés pour être examinés ultérieurement.
• Instantanés VMWare. Pour les appareils comme les machines virtuelles – le « VM » dans VMWare – un instantané d'un moment spécifique peut être utilisé dans l'analyse de la mémoire. Les enquêteurs captureront l'état exact de l'appareil au moment de l'instantané.

Éléments de base de la mémoire forensique

Le processus de mémoire forensique est divisé en les étapes distinctes suivantes.

• Acquisition de la mémoire est la phase de collecte de données de l'appareil. Une copie de la RAM est faite à l'aide d'un logiciel de forensique numérique, qui a accès au système d'exploitation et au matériel de l'appareil. L'équipe crée un instantané de mémoire RAW pour analyse. Plusieurs instantanés peuvent être pris pour des comparaisons horodatées pendant l'enquête.
• Analyse de la mémoire est le processus de révision du fichier d'instantané et de recherche de problèmes potentiels. Chaque enquêteur travaille différemment, mais les étapes courantes de l'analyse consistent à rechercher des signatures de malware, à extraire des fichiers de différentes parties du système et à récupérer des données qui ont pu être temporairement perdues.

Avantages de la mémoire forensique

La cybersécurité est un effort continu que les entreprises doivent toujours prendre en compte. L'analyse de la mémoire peut être à la fois une approche proactive et réactive, avec des avantages qui incluent :

• Identifier les malwares difficiles à détecter. Les cybercriminels deviennent chaque jour plus sophistiqués et apprennent à échapper aux pare-feux courants et à d'autres systèmes de sécurité. Une fois qu'ils ont accès à la RAM d'un appareil, la plupart des systèmes ne peuvent pas les détecter. Toute organisation ou individu qu'ils ciblent est à risque. La mémoire forensique ouvre la voie à une recherche approfondie pour débusquer les malwares au cœur du système d'exploitation.
• Fournir des preuves d'attaques réelles. Faire face à une cyberattaque est un défi, mais avoir des preuves d'une attaque coordonnée aide à demander du personnel ou des ressources de sécurité supplémentaires. Les preuves trouvées grâce à la mémoire forensique peuvent être la preuve qu'un soutien supplémentaire est nécessaire pour protéger l'entreprise contre d'autres attaques.
• Prendre de l'avance sur les menaces futures. Même si elle se concentre sur l'enquête sur des incidents qui se sont déjà produits, l'analyse forensique peut être utilisée pour prévenir d'autres attaques. Si des anomalies système bénignes sont trouvées lors d'un vidage de mémoire, les équipes informatiques peuvent créer des correctifs pour les bogues avant qu'ils ne deviennent des vulnérabilités exploitées.

Bonnes pratiques pour la mémoire forensique

Les enquêteurs peuvent révéler de nombreuses informations importantes grâce à la mémoire forensique. Pour garantir une enquête réussie, les équipes devraient :

• Planifier à l'avance. Avoir un objectif clair et une portée pour l'enquête rend les résultats plus clairs et plus précis. Surtout si l'enquête réagit à une menace suspectée, une liste détaillée de tâches et d'étapes peut gagner du temps et trouver des problèmes plus rapidement pour que des mesures puissent être prises pour éliminer la menace.
• Documenter toutes les étapes. Toutes les actions, tâches, outils et personnes responsables doivent être notés lors d'une enquête forensique. Non seulement cela permet de garder l'équipe sur la bonne voie, mais cela peut également être consulté plus tard si d'autres problèmes surviennent.
• Valider les résultats. Une fois les preuves collectées, valider les résultats par rapport à d'autres enquêtes et faire un second examen des résultats par des membres de l'équipe qui n'ont pas recueilli les données initiales. Cela peut confirmer l'exactitude des résultats, tout en fournissant de la fiabilité. La cohérence est cruciale en mémoire forensique, car ces preuves peuvent être comparées à de futures enquêtes.

Surveillez continuellement les menaces cybernétiques possibles et gardez votre organisation en sécurité avec un logiciel de gestion de la surface d'attaque.