Collect-MemoryDump

Collect-MemoryDump - DFIRのためのWindowsメモリスナップショットの自動作成

Collect-MemoryDump.ps1は、フォレンジック的に健全な方法で、動作中のWindowsシステム（ページファイル収集を含む）からメモリスナップショットを収集するために使用されるPowerShellスクリプトです。

機能:

ARM64対応（MAGNET DumpIt for Windows および MAGNET Response）
メモリ取得開始前にホスト名と物理メモリサイズを確認
メモリダンプファイルを保存するのに十分な空きディスク容量があるか確認
MAGNET DumpIt for Windows を使用した Microsoft Crash Dump の収集
MAGNET DumpIt、MAGNET RAM Capture、Belkasoft Live RAM Capturer、WinPMEM を使用した Raw Physical Memory Dump の収集
MAGNET Response を使用したページファイル収集 → リフレクティブPEインジェクション技術を扱う際に非常に便利
MAGNET Response を使用したトリアージ収集（オプション）
MAGNET Response を使用した実行中プロセス/モジュール情報の収集
MAGNET Encrypted Disk Detector (EDD) を使用した暗号化ボリュームの確認
BitLocker回復キーの収集
インストールされているエンドポイントセキュリティツール（アンチウイルスおよびEDR）の確認
ターゲットホストからDFIRワークフローを強化するために必要なすべての情報を列挙
パスワード保護されたセキュアアーカイブコンテナを作成（PW: IncidentResponse）

[!TIP] Windowsメモリダンプと対応するページファイルの自動フォレンジック分析は MemProcFS-Analyzer をご利用ください

初回公開リリース

MAGNET Talks - フランクフルト、ドイツ (2022年7月27日)
プレゼンテーションタイトル: Modern Digital Forensics and Incident Response Techniques
https://www.magnetforensics.com/

ダウンロード

Collect-MemoryDump の最新バージョンは Releases セクションからダウンロードしてください。

[!NOTE] Collect-MemoryDump にはデフォルトですべての外部ツールが含まれているわけではありません。

以下の依存関係をダウンロードする必要があります:

必要なファイルを以下のファイルパスにコピーします:

Belkasoft Live RAM Capturer
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCapture64.exe
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCaptureDriver64.sys
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCapture.exe
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCaptureDriver.sys

MAGNET DumpIt for Windows
$SCRIPT_DIR\Tools\DumpIt\ARM64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x86\DumpIt.exe

MAGNET Encrypted Disk Detector
$SCRIPT_DIR\Tools\EDD\EDDv310.exe

MAGNET Ram Capture
$SCRIPT_DIR\Tools\MRC\MRCv120.exe

MAGNET Response
$SCRIPT_DIR\Tools\MagnetRESPONSE\MagnetRESPONSE.exe

詳細: Wiki: How-to-add-or-update-dependencies

使用法

.\Collect-MemoryDump.ps1 [-Tool] [--Pagefile] [--Triage]

例1 - Microsoft Crash Dump とページファイルの収集

.\Collect-MemoryDump.ps1 -Comae --Pagefile

例2 - Raw Physical Memory Dump とページファイルの収集

.\Collect-MemoryDump.ps1 -DumpIt --Pagefile

例3 - Raw Physical Memory Dump の収集

.\Collect-MemoryDump.ps1 -WinPMEM

例4 - Microsoft Crash Dump、ページファイル、フォレンジックアーティファクトの収集

.\Collect-MemoryDump.ps1 -Comae --Pagefile --Triage

[!IMPORTANT]
MAGNET Encrypted Disk Detector および MAGNET Response を使用するには、ターゲットシステムに Microsoft .NET Framework 4（以降）がインストールされている必要があります。ページファイル収集をスキップするか、Microsoft ダウンロードサイトから Microsoft .NET Framework 4（スタンドアロンインストーラー）をダウンロードしてインストールしてください:
https://www.microsoft.com/en-us/download/details.aspx?id=17718