[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[port139:01509] FYI: Forensic とは何か



AD へ参加された方の多いこの ML では既知やもしれませぬが、
AD2002 の資料が公開されておりまする.

http://www.hawkeye.ac/micky/AD2002/index.html

最後の部分にあります、メモリ内容の取得に関しての記述が興味深く
拝見させていただきました.
Windows NT/2000/XP であれば、レジストリを事前に設定しておくこ
とでキー操作により強制的に STOP を発生させメモリダンプを作成
させることが可能です.(メモリダンプは完全にしておきます)

しかしながら、この場合システム領域への書き込みが発生いたしま
すので、証拠メディアを改変しないという原則から外れてしまう難
点があるやに思いまする.

forensic acquisition utilities の dd.exe は入力としてメモリ
(PhysicalMemory)を指定できますが、UNIX の dd でも同様の指定
ができますでしょうか?

dd.exe if=\\.\PhysicalMemory of=d:\images\PhysicalMemory.img

-- 
粗にして野にして卑
Tanaka Souji
souta3@xxxxxxxxxxxxxx