Collect-MemoryDump

Collect-MemoryDump - DFIR을 위한 Windows 메모리 스냅샷 자동 생성

Collect-MemoryDump.ps1은 포렌식적으로 건전한 방식으로 라이브 Windows 시스템에서 메모리 스냅샷(페이지 파일 수집 포함)을 수집하는 데 사용되는 PowerShell 스크립트입니다.

기능:

ARM64 지원 (MAGNET DumpIt for Windows 및 MAGNET Response)
메모리 수집을 시작하기 전에 호스트 이름 및 실제 메모리 크기 확인
메모리 덤프 파일을 저장할 충분한 여유 디스크 공간이 있는지 확인
MAGNET DumpIt for Windows로 Microsoft 크래시 덤프 수집
MAGNET DumpIt, MAGNET RAM Capture, Belkasoft Live RAM Capturer 및 WinPMEM으로 원시 물리 메모리 덤프 수집
MAGNET Response로 페이지 파일 수집 → 반사형 PE 인젝션 기술을 다룰 때 매우 유용함
MAGNET Response로 트리아지 수집 (선택 사항)
MAGNET Response로 실행 중인 프로세스/모듈 정보 수집
MAGNET Encrypted Disk Detector (EDD)로 암호화된 볼륨 확인
BitLocker 복구 키 수집
설치된 엔드포인트 보안 도구(안티바이러스 및 EDR) 확인
DFIR 워크플로우를 강화하기 위해 대상 호스트에서 필요한 모든 정보 열거
비밀번호로 보호된 보안 아카이브 컨테이너 생성 (PW: IncidentResponse)

[!TIP] Windows 메모리 덤프 및 해당 페이지 파일의 자동 포렌식 분석 (MemProcFS-Analyzer 사용)

첫 번째 공개 릴리스

MAGNET Talks - 독일 프랑크푸르트 (2022년 7월 27일)
발표 제목: 현대 디지털 포렌식 및 침해 대응 기술
https://www.magnetforensics.com/

다운로드

Collect-MemoryDump의 최신 버전은 Releases 섹션에서 다운로드하세요.

[!NOTE] Collect-MemoryDump에는 기본적으로 모든 외부 도구가 포함되어 있지 않습니다.

다음 종속성을 다운로드해야 합니다:

필요한 파일을 다음 파일 위치에 복사하세요:

Belkasoft Live RAM Capturer
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCapture64.exe
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCaptureDriver64.sys
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCapture.exe
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCaptureDriver.sys

MAGNET DumpIt for Windows
$SCRIPT_DIR\Tools\DumpIt\ARM64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x86\DumpIt.exe

MAGNET Encrypted Disk Detector
$SCRIPT_DIR\Tools\EDD\EDDv310.exe

MAGNET Ram Capture
$SCRIPT_DIR\Tools\MRC\MRCv120.exe

MAGNET Response
$SCRIPT_DIR\Tools\MagnetRESPONSE\MagnetRESPONSE.exe

확인: Wiki: How-to-add-or-update-dependencies

사용법

.\Collect-MemoryDump.ps1 [-Tool] [--Pagefile] [--Triage]

예제 1 - Microsoft 크래시 덤프 및 페이지 파일 수집

.\Collect-MemoryDump.ps1 -Comae --Pagefile

예제 2 - 원시 물리 메모리 덤프 및 페이지 파일 수집

.\Collect-MemoryDump.ps1 -DumpIt --Pagefile

예제 3 - 원시 물리 메모리 덤프 수집

.\Collect-MemoryDump.ps1 -WinPMEM

예제 4 - Microsoft 크래시 덤프, 페이지 파일 및 포렌식 아티팩트 수집

.\Collect-MemoryDump.ps1 -Comae --Pagefile --Triage

[!IMPORTANT]
MAGNET Encrypted Disk Detector 및 MAGNET Response를 사용하려면 대상 시스템에 Microsoft .NET Framework 4(이상)가 설치되어 있어야 합니다. 페이지 파일 수집을 건너뛰거나 Microsoft 다운로드 사이트에서 Microsoft .NET Framework 4(독립 실행형 설치 관리자)를 다운로드하여 설치하세요:
https://www.microsoft.com/en-us/download/details.aspx?id=17718