[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[port139:01509] FYI: Forensic とは何か
- To: port139@xxxxxxxxxxxxxxxxxxxxx
- Subject: [port139:01509] FYI: Forensic とは何か
- From: Tanaka Souji <souta3@xxxxxxxxxxxxxx>
- Date: Tue, 8 Oct 2002 07:42:26 +0900
AD へ参加された方の多いこの ML では既知やもしれませぬが、
AD2002 の資料が公開されておりまする.
http://www.hawkeye.ac/micky/AD2002/index.html
最後の部分にあります、メモリ内容の取得に関しての記述が興味深く
拝見させていただきました.
Windows NT/2000/XP であれば、レジストリを事前に設定しておくこ
とでキー操作により強制的に STOP を発生させメモリダンプを作成
させることが可能です.(メモリダンプは完全にしておきます)
しかしながら、この場合システム領域への書き込みが発生いたしま
すので、証拠メディアを改変しないという原則から外れてしまう難
点があるやに思いまする.
forensic acquisition utilities の dd.exe は入力としてメモリ
(PhysicalMemory)を指定できますが、UNIX の dd でも同様の指定
ができますでしょうか?
dd.exe if=\\.\PhysicalMemory of=d:\images\PhysicalMemory.img
--
粗にして野にして卑
Tanaka Souji
souta3@xxxxxxxxxxxxxx