Einstellung von Rekall

Dieses Projekt wird nicht mehr gewartet.

Im Dezember 2011 wurde ein neuer Zweig innerhalb des Volatility-Projekts erstellt, um zu untersuchen, wie die Codebasis modularer gestaltet, die Leistung verbessert und die Benutzerfreundlichkeit erhöht werden kann. Dieser Zweig wurde später abgespalten und zu Rekall. Die Modularität ermöglichte es, die Funktionalität der physischen Speicheranalyse in GRR zu nutzen, um eine ferngesteuerte Live-In-Memory-Analyse zu ermöglichen.

Erkenntnisse:

Rekall hat im Laufe der Jahre viele Verbesserungen an der Methodik der Speicheranalyse eingeführt. Weitere Informationen finden Sie unter: http://blog.rekall-forensic.com/
Das Rekall-Framework ermöglichte aufgrund der Natur der voneinander abhängigen In-Memory-Strukturen und früher Architekturentscheidungen nur eine begrenzte Modularisierung.
Zunehmende RAM-Größen und Sicherheitsmaßnahmen wie Speicherverschlüsselung machen die traditionelle physische Speicheranalyse aufwändiger.
Die physische Speicheranalyse ist fragil und wartungsintensiv. Die meisten Werkzeuge zur physischen Speicheranalyse sind im Grunde Kernel-Debugger ohne Zugriff auf den Quellcode und Debugsymbole. Daher ist die meiste Speicheranalyse ein kostspieliger Prozess des Debuggings / Reverse Engineerings und der Aktualisierung von Debugsymbolen / Strukturdefinitionen.

Die aktive Entwicklung an Rekall wurde vor einiger Zeit eingestellt. GRR ist von der Verwendung von Rekall auf YARA umgestiegen, das eine begrenzte Reihe von Speicheranalysefunktionen unterstützt, die deutlich weniger Wartung erfordern.

Die Kernentwickler / Betreuer von Rekall haben andere Prioritäten und niemand hat sich bereit erklärt, bei der Wartung zu helfen. Daher wird das Rekall-Projekt eingestellt. Das Projekt wird archiviert, und Sie können es gerne forken und weiter Änderungen vornehmen.

Winpmem wird als separates Projekt fortgeführt, das derzeit unter https://github.com/Velocidex/WinPmem gewartet wird.

The Rekall Forensic and Incident Response Framework

The Rekall Framework ist eine vollständig offene Sammlung von Werkzeugen, die in Python unter der Apache- und der GNU General Public License implementiert sind, für die Extraktion und Analyse digitaler Artefakte auf Computersystemen.

Die Rekall-Distribution ist erhältlich unter: http://www.rekall-forensic.com/

Rekall sollte auf jeder Plattform laufen, die Python unterstützt.

Rekall unterstützt Untersuchungen der folgenden 32-Bit- und 64-Bit-Speicherabbilder:

Microsoft Windows XP Service Pack 2 und 3
Microsoft Windows 7 Service Pack 0 und 1
Microsoft Windows 8 und 8.1
Microsoft Windows 10
Linux-Kernel 2.6.24 bis zur aktuellsten Version.
OSX 10.7-10.12.x.

Rekall bietet auch eine vollständige Fähigkeit zur Erfassung von Speicherproben für alle wichtigen Betriebssysteme (siehe das Verzeichnis tools).

Schnellstart

Rekall ist als Python-Paket verfügbar, das über den Paketmanager pip installiert werden kann. Um es zu installieren, erstellen Sie zuerst eine virtuelle Umgebung, wechseln Sie zu ihr und installieren Sie dann Rekall:

$ virtualenv  /tmp/MyEnv
New python executable in /tmp/MyEnv/bin/python
Installing setuptools, pip...done.
$ source /tmp/MyEnv/bin/activate
$ pip install --upgrade setuptools pip wheel
$ pip install rekall-agent rekall

Für Windows ist Rekall auch als eigenständiges Installationspaket erhältlich. Bitte überprüfen Sie die Download-Seite für den am besten geeigneten Installer: Rekall-Forensic.com

Um aus diesem Git-Repository zu installieren, müssen Sie pip --editable verwenden und die korrekte Installationsreihenfolge einhalten (andernfalls wird pip veröffentlichte Abhängigkeiten herunterladen, die möglicherweise älter sind):

$ virtualenv  /tmp/MyEnv
New python executable in /tmp/MyEnv/bin/python
Installing setuptools, pip...done.
$ source /tmp/MyEnv/bin/activate
$ pip install --upgrade setuptools pip wheel
$ git clone https://github.com/google/rekall.git rekall
$ pip install --editable rekall/rekall-lib
$ pip install --editable rekall/rekall-core
$ pip install --editable rekall/rekall-agent
$ pip install --editable rekall

Unter Windows müssen Sie die Microsoft Visual C-Compiler für Python installieren (weitere Informationen finden Sie in diesem Blogbeitrag http://rekall-forensic.blogspot.ch/2015/09/installing-rekall-on-windows.html)

Mailinglisten

Mailinglisten zur Unterstützung der Benutzer und Entwickler von Rekall finden Sie unter der folgenden Adresse:

[email protected]

Lizenzierung und Urheberrecht

Dieses Programm ist freie Software; Sie können es unter den Bedingungen der GNU General Public License, wie von der Free Software Foundation veröffentlicht, weitergeben und/oder modifizieren; entweder Version 2 der Lizenz oder (nach Ihrer Wahl) jede spätere Version.

Dieses Programm wird in der Hoffnung verbreitet, dass es nützlich sein wird, aber OHNE JEDE GEWÄHRLEISTUNG; sogar ohne die stillschweigende Garantie von MARKTGÄNGIGKEIT oder EIGNUNG FÜR EINEN BESTIMMTEN ZWECK. Weitere Einzelheiten finden Sie in der GNU General Public License.

Sie sollten eine Kopie der GNU General Public License zusammen mit diesem Programm erhalten haben; wenn nicht, schreiben Sie an die Free Software Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307, USA.

Fehler und Support

Es wird kein Support für Rekall bereitgestellt. Es gibt KEINE Garantie; nicht einmal für die MARKTGÄNGIGKEIT oder die EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Wenn Sie glauben, einen Fehler gefunden zu haben, melden Sie ihn bitte unter:

https://github.com/google/rekall/issues

Um uns zu helfen, Ihre Probleme so schnell wie möglich zu lösen, geben Sie bitte die folgenden Informationen an, wenn Sie einen Fehler melden:

Die von Ihnen verwendete Version von Rekall
Das Betriebssystem, auf dem Rekall ausgeführt wird
Die verwendete Python-Version
Das vermutete Betriebssystem des Speicherabbilds
Die vollständige Befehlszeile, mit der Sie Rekall ausgeführt haben

Geschichte

Im Dezember 2011 wurde ein neuer Zweig innerhalb des Volatility-Projekts erstellt, um zu untersuchen, wie die Codebasis modularer gestaltet, die Leistung verbessert und die Benutzerfreundlichkeit erhöht werden kann. Die Modularität ermöglichte den Einsatz von Volatility in GRR, wodurch die Speicheranalyse zu einem Kernbestandteil einer Strategie zur Ermöglichung von Remote-Live-Forensik wurde. Infolgedessen konnten sowohl GRR als auch Volatility die Stärken des jeweils anderen nutzen.

Im Laufe der Zeit wurde dieser Zweig als "scudette"-Zweig oder "Technology Preview"-Zweig bekannt. Es war immer ein Ziel, diese Änderungen in die Hauptcodebasis von Volatility zu integrieren. Aber nach zwei Jahren kontinuierlicher Entwicklung wurde die "Technology Preview" nie in die Hauptversion von Volatility übernommen.

Da es unwahrscheinlich schien, dass diese Änderungen in Zukunft integriert würden, war es sinnvoll, den Technology Preview-Zweig als separates Projekt weiterzuentwickeln. Am 13. Dezember 2013 wurde der frühere Zweig abgespalten, um ein neues eigenständiges Projekt namens "Rekall" zu schaffen. Dieses neue Projekt enthält Änderungen, die die Codebasis optimieren, sodass Rekall als Bibliothek verwendet werden kann. Methoden zur Speichererfassung und andere externe Beiträge, die nicht in der Volatility-Codebasis enthalten waren, wurden ebenfalls aufgenommen.

Rekall strebt danach, den Stand der Technik in der Speicheranalyse voranzutreiben, indem es die derzeit besten Algorithmen und eine vollständige Lösung zur Speichererfassung und -analyse für mindestens Windows, OSX und Linux implementiert.

Weitere Dokumentation

Weitere Dokumentation ist verfügbar unter http://www.rekall-forensic.com/

rekall

Beliebteste