ИнфоБез

Что такое форензика RAM? Memory Forensics — это исследование оперативной памяти компьютера, чтобы понять, что происходило в системе в момент её работы. Почему это важно? Диск хранит файлы, а RAM хранит текущее состояние системы. Например, на компьютере обнаружили подозрительный файл: C:\Users\Admin\Downloads\update.exe Сам по себе файл ещё не говорит, что он делал. Дамп RAM может показать: • запускался ли update.exe; • какой командой он был запущен; • какие DLL загрузил; • к каким IP-адресам подключался; • какие данные находились у него в памяти. Простая аналогия: Диск — это архив. RAM — это то, что сейчас находится на рабочем столе. Поэтому при расследовании инцидента часто нужны и диск, и оперативная память.