Review: FTK 3.1 Memory Image Analysis: CCI:

イメージのインポート画面。スワップファイルを加えた解析が可能な模様。 DKOMのような隠ぺいもきちんと見つけるので、 Tree & List TraversalとObject Fingerprint Searchを併用している？ 一方でプロセスのExit Timeのカラムが無いので、既に終了したプロセスの情報は含まないようだ。 イメージ内のプロセスのFuzzy Hashを計算する機能がある。ただのハッシュ値だと全く違うバイナリのマルウェアのように見える場合があるが、こちらの値を見れば、似たような性質を持っていると判断できる。具体的にどのような性質を持っているかは、そのうちの１つを解析するしかないが。 FTKの特徴的な機能としては、メモリイメージのDiff機能がある。これで同じマシンの複数のイメージ間での差分となるプロセス情報などを抽出してくれる。EnCase Enterpriseでいうと

[ucq]

おもしろそー RT @port139: メモリイメージからの文字抽出してインデックスするの！？ RT Review: FTK 3.1 Memory Image Analysis