[发明专利]基于Dumplt和volatility的内存取证分析方法、装置及存储介质

说明书

本申请公开了一种基于Dumplt和volatility的内存取证分析方法、装置及存储介质。本方法首先建立与目标设备的连接关系，通过Dumplt获取目标设备的内存镜像；然后基于volatility取证框架对获取到的内存镜像进行镜像内容分析得到威胁特征集；最后基于得到的威胁特征集建立内存取证分析模型，其中，内存取证分析模型用于对获取的信息进行内存取证分析。本申请快速响应事件进行简单的内存分析，其中Dumplt可以简单方便的在windows平台上获取计算机内存镜像，可以部署在usb闪存盘上快速响应；Volatility可通过python对内存镜像进行详细及特征分析，还可以对源代码进行修改或扩展功能集成丰富的库文件。

技术领域

本发明涉及计算机内存取证领域，特别涉及一种基于Dumplt和 volatility的内存取证分析方法、装置及存储介质。

背景技术

内存取证(MemoryForensics)通常指对计算机及相关智能设备运行时的物理内存中存储的临时数据进行获取与分析，提取有价值的数据。内存是操作系统及各种软件交换数据的区域，数据易丢失，通常在关机后数据很快就消失。

内存取证大致分为两种方式，一是在主机存活时发现系统被入侵，然后直接把机器的运行内存dump下来，对运行内存进行分析，还原一些进程中的信息，分析获取有价值的数据。另一种是对机器做镜像之后进行分析，分析镜像分析镜像是否存在恶意程序。不管是哪种取证方式都应尽量避免破坏现场，例如通过内存转储工具对内存进行快照，通过磁盘克隆工具对磁盘进行克隆，方便后期的分析工作。内存取证为应对各种各样的复杂场景，方式各不相同，然而现有内存取证的方式往往需要特定的环境与设备条件下才能完成内存取证，较为繁琐。所以亟需一种能够快速响应事件进行简单的内存分析的方法。

发明内容

基于此，本申请实施例提供了一种基于Dumplt和volatility的内存取证分析方法、装置及存储介质，可用于快速便携的响应事件，无需复杂的命令参数即可轻松进行简单的内存分析。

第一方面，提供了一种基于Dumplt和volatility的内存取证分析方法，该方法包括：

建立与目标设备的连接关系，通过Dumplt获取目标设备的内存镜像；

基于volatility取证框架对获取到的内存镜像进行镜像内容分析得到威胁特征集；

基于得到的威胁特征集建立内存取证分析模型，其中，所述内存取证分析模型用于对获取的信息进行内存取证分析。

可选地，所述通过Dumplt获取目标设备的内存镜像，包括：

将所述内存镜像部署于usb闪存盘。

可选地，在通过Dumplt获取目标设备的内存镜像之后，还包括：

通过MemProFS对所述内存镜像进行检测得到内存镜像详细信息，并将所述内存镜像详细信息挂载于dokany文件系统。

可选地，所述基于得到的威胁特征集建立内存取证分析模型，包括：

通过对源代码进行修改和/或扩展功能集成库文件。

可选地，所述目标设备为windows系统，所述volatility取证框架通过python建立。

可选地，所述volatility取证框架还通过插件拓展功能，其中，插件至少包括Distorm3、yara、PyCrypto以及PIL。

第二方面，提供了一种基于Dumplt和volatility的内存取证分析装置，该装置包括：

获取模块，用于建立与目标设备的连接关系，通过Dumplt获取目标设备的内存镜像；