Volatility 3: 揮発性メモリ抽出フレームワーク

Volatilityは、揮発性メモリ（RAM）サンプルからデジタルアーティファクトを抽出するための、世界で最も広く使用されているフレームワークです。抽出技術は調査対象のシステムから完全に独立して実行されますが、システムの実行時状態への可視性を提供します。このフレームワークは、揮発性メモリサンプルからデジタルアーティファクトを抽出する際の技術と複雑さを人々に紹介し、この刺激的な研究分野へのさらなる取り組みのためのプラットフォームを提供することを目的としています。

2019年、Volatility Foundationはフレームワークの完全なリライトであるVolatility 3をリリースしました。このプロジェクトは、過去10年間で明らかになった元のコードベースに関連する多くの技術的およびパフォーマンスの課題に対処することを目的としていました。リライトのもう一つの利点は、Volatility 3がVolatilityコミュニティの目標により沿ったカスタムライセンスであるVolatility Software License (VSL) の下でリリースできるようになったことです。詳細についてはLICENSEファイルを参照してください。

クイックスタート

必要な依存関係をインストールします:
```
pip install --user -e ".[full]"
```
利用可能なオプションを確認します:
```
vol -h
```
Windowsメモリサンプルの詳細情報を取得し、Volatilityがそのサンプルタイプをサポートしていることを確認するには、vol -f <imagepath> windows.infoを実行します:
```
vol -f /home/user/samples/stuxnet.vmem windows.info
```
他のプラグインを実行します。-fまたは--single-locationは厳密には必須ではありませんが、ほとんどのプラグインは単一のサンプルを期待します。一部のプラグインは他のオプションも必要とするか受け入れます。特定のコマンドの詳細についてはvol <plugin> -hを実行してください。

インストール

Volatility 3はPython 3.8.0以降を必要とし、PyPiレジストリで公開されています。

pip install volatility3

Volatility 3の最新開発バージョンを使用したい場合は、このリポジトリを手動でクローンし、プロジェクトの編集可能バージョンをインストールすることをお勧めします。インストールした依存関係をシステムパッケージから分離するために、仮想環境を使用することをお勧めします。

Volatilityの最新安定版は常にGitHubリポジトリのstableブランチです。デフォルトブランチはdevelopです。

git clone https://github.com/volatilityfoundation/volatility3.git
cd volatility3/
python3 -m venv venv && . venv/bin/activate
pip install -e ".[dev]"

シンボルテーブル

各種オペレーティングシステム用のシンボルテーブルパックは以下からダウンロードできます:

windows.zip

mac.zip

linux.zip

シンボルパックファイルが正常にダウンロードされたか、または変更されたかを確認するためのハッシュは以下にあります:

SHA256SUMS

SHA1SUMS

MD5SUMS

シンボルテーブルのzipファイルは、名前のままvolatility3/symbolsディレクトリ（または実行ファイルの隣のsymbolsディレクトリ）に配置する必要があります。

見つからないWindowsシンボルは、クエリ、ダウンロード、生成、キャッシュされます。MacおよびLinuxのシンボルテーブルは、dwarf2jsonなどのツールで手動で生成する必要があります。

重要: 新しいシンボルファイルを使用したvolatilityの初回実行では、キャッシュを更新する必要があります。シンボルパックには多数のシンボルファイルが含まれているため、更新に時間がかかる場合があります！ただし、この処理は各新しいシンボルファイルに対して一度だけ実行する必要があるため、パックが同じ場所に留まる限り再度実行する必要はありません。また、中断しても次回の実行で自動的に再開されることに注意してください。

注意: これらは代表的なものであり、WindowsおよびMacについては作成時点までの完全なものです。Linuxカーネルのコンパイルの容易さと一意に区別できないため、Linuxシンボルテーブルの網羅的なセットを簡単に提供することはできません。