[port139:01514] Re: FYI: Forensic とは何か

[Tanaka Souji <souta3@xxxxxxxxxxxxxx>]

On Tue, 08 Oct 2002 11:34:37 +0900
Kensuke Nezu <nez@xxxxxxxxxxx> wrote:

> > forensic acquisition utilities の dd.exe は入力としてメモリ
> > (PhysicalMemory)を指定できますが、UNIX の dd でも同様の指定
> > ができますでしょうか?
> > 
> > dd.exe if=\\.\PhysicalMemory of=d:\images\PhysicalMemory.img
> 
> どのエリアを取りたいのかにもよるとは思うのですが、/dev/kmemや、
> /dev/memなど大抵のUNIX（とその親戚）のシステムには物理メモリを
> 指しているデバイスがあるとは思いますが、ddを起動することで壊れて
> しまう部分があり、完全なsnapshotは取れないですよね？

ご指摘の通り、なんらかのプロセスを起動することでメモリ上の
データが変化すると思いますので「完全」なものは難しいやに思
いまする.

下記 URL にあります資料でも / dev/kmem, /dev/mem を dd に
て取得する方法が記載されておりました.

 Computer Forensics Analysis 
 http://personal.ie.cuhk.edu.hk/~shlam/ssem/for/

ダンプしたメモリイメージをどのように解析するか?という問題
もあるやに感じまするが...

-- 
粗にして野にして卑
Tanaka Souji
souta3@xxxxxxxxxxxxxx