Volatility 3: 휘발성 메모리 추출 프레임워크

Volatility는 휘발성 메모리(RAM) 샘플에서 디지털 아티팩트를 추출하는 데 가장 널리 사용되는 프레임워크입니다. 추출 기술은 조사 대상 시스템과 완전히 독립적으로 수행되지만 시스템의 런타임 상태에 대한 가시성을 제공합니다. 이 프레임워크는 휘발성 메모리 샘플에서 디지털 아티팩트를 추출하는 데 관련된 기술과 복잡성을 사람들에게 소개하고 이 흥미로운 연구 분야에 대한 추가 작업을 위한 플랫폼을 제공하기 위해 고안되었습니다.

2019년, Volatility Foundation은 프레임워크의 완전한 재작성인 Volatility 3를 출시했습니다. 이 프로젝트는 이전 10년 동안 분명해진 원래 코드 베이스와 관련된 많은 기술적 및 성능적 과제를 해결하기 위한 것이었습니다. 재작성의 또 다른 이점은 Volatility 3가 Volatility 커뮤니티의 목표에 더 부합하는 맞춤형 라이선스인 Volatility Software License(VSL) 하에 출시될 수 있다는 점이었습니다. 자세한 내용은 LICENSE 파일을 참조하십시오.

빠른 시작

필요한 종속성을 설치합니다:
```
pip install --user -e ".[full]"
```
사용 가능한 옵션을 확인합니다:
```
vol -h
```
Windows 메모리 샘플에 대한 자세한 정보를 얻고 Volatility가 해당 샘플 유형을 지원하는지 확인하려면 vol -f <이미지경로> windows.info를 실행합니다:
```
vol -f /home/user/samples/stuxnet.vmem windows.info
```
다른 플러그인을 실행합니다. -f 또는 --single-location은 반드시 필요하지는 않지만 대부분의 플러그인은 단일 샘플을 기대합니다. 일부는 다른 옵션도 필요하거나 허용합니다. 특정 명령에 대한 자세한 정보는 vol <플러그인> -h를 실행하십시오.

설치

Volatility 3는 Python 3.8.0 이상이 필요하며 PyPi 레지스트리에 게시되어 있습니다.

pip install volatility3

Volatility 3의 최신 개발 버전을 사용하려면 이 저장소를 수동으로 클론하고 프로젝트의 편집 가능한 버전을 설치하는 것이 좋습니다. 시스템 패키지와 설치된 종속성을 분리하기 위해 가상 환경을 사용하는 것을 권장합니다.

Volatility의 최신 안정 버전은 항상 GitHub 저장소의 stable 브랜치입니다. 기본 브랜치는 develop입니다.

git clone https://github.com/volatilityfoundation/volatility3.git
cd volatility3/
python3 -m venv venv && . venv/bin/activate
pip install -e ".[dev]"

심볼 테이블

다양한 운영 체제용 심볼 테이블 팩은 다음에서 다운로드할 수 있습니다:

windows.zip

mac.zip

linux.zip

심볼 팩 파일이 성공적으로 다운로드되었거나 변경되었는지 확인하는 해시는 다음에서 찾을 수 있습니다:

SHA256SUMS

SHA1SUMS

MD5SUMS

심볼 테이블 zip 파일은 그 이름 그대로 volatility3/symbols 디렉토리(또는 실행 파일 옆에 있는 symbols 디렉토리)에 배치해야 합니다.

찾을 수 없는 Windows 심볼은 쿼리, 다운로드, 생성 및 캐시됩니다. Mac 및 Linux 심볼 테이블은 dwarf2json과 같은 도구로 수동으로 생성해야 합니다.

중요: 새 심볼 파일로 volatility를 처음 실행할 때는 캐시를 업데이트해야 합니다. 심볼 팩에는 많은 수의 심볼 파일이 포함되어 있으므로 업데이트하는 데 시간이 걸릴 수 있습니다! 그러나 이 프로세스는 각 새 심볼 파일에 대해 한 번만 실행하면 되므로 팩이 동일한 위치에 유지된다면 다시 수행할 필요가 없습니다. 또한 중단될 수 있으며 다음 실행 시 다시 시작됩니다.

참고: 이들은 대표적인 것이며 Windows 및 Mac의 경우 생성 시점까지 완전합니다. Linux 커널을 컴파일하는 용이성과 고유하게 구분할 수 없는 특성으로 인해 Linux 심볼 테이블의 포괄적인 세트를 쉽게 제공할 수 없습니다.