Memory-Forensik
Speicherforensik
Memory Forensics
Speicherforensik ist die Analyse des flüchtigen Arbeitsspeichers (RAM) eines Systems. Im Speicher finden sich Spuren, die nirgends sonst existieren: laufende und versteckte Prozesse, entschlüsselte Daten, eingegebene Passwörter, aktive Verbindungen und speicherresidente Schadsoftware. Sie ist oft der einzige Weg, moderne, dateilose Angriffe zu fassen.
Historie & Fakten. Lange konzentrierte sich die Forensik auf Datenträger; mit dem Aufkommen dateiloser Angriffe, die ausschließlich im Speicher operieren, wurde die Analyse des RAM unverzichtbar. Voraussetzung ist ein Speicherabbild (Memory Dump), das im laufenden Betrieb gezogen wird. Spezialisierte Werkzeuge rekonstruieren daraus Prozesse, geladene Module, Netzwerkverbindungen und injizierten Code — selbst dann, wenn sich die Schadsoftware vor dem Betriebssystem zu verstecken versucht.
Ausblick & Empfehlung. Weil der Arbeitsspeicher beim Abschalten verloren geht, ist seine Sicherung in der Order of Volatility (Speicherforensik-Framework) (Volatility) ganz oben angesiedelt — vor dem Image des Datenträgers. Wer einen verdächtigen Rechner reflexhaft ausschaltet, vernichtet häufig den wichtigsten Beweis. Speicherforensik ist damit ein zentraler Baustein der Live-Forensik und gerade gegen fortgeschrittene, getarnte Angriffe oft der entscheidende.