آموزش Memory Forensics با Volatility 3
مدرس: علی سلطانی
در بسیاری از رخدادها، بخشی از شواهد مهم در حافظه قرار دارد: پردازش فعال، ماژول بارگذاری‌شده، اتصال شبکه، رشته متنی یا قطعه کدی که تصویر روشنی از رفتار برنامه می‌دهد. Memory Forensics با تدریس علی سلطانی، از اصول جمع‌آوری RAM و ساختار حافظه مجازی آغاز می‌شود و به تحلیل ساختارهای سیستم‌عامل و اعتبارسنجی رفتار مشکوک با Volatility 3 می‌رسد.
برای تحلیل صحیح، ابتدا رابطه Physical Memory و Virtual Address، Address Translation، Process Address Space و Memory Mapping بررسی می‌شود. در ویندوز، فهرست و درخت پردازش، Command Line، DLL، Handle، VAD و آثار شبکه محور تحقیق هستند. خروجی Pluginهای مختلف در کنار هم خوانده می‌شوند تا تفاوت فقدان داده، پردازش خاتمه‌یافته، ساختار اسکن‌شده و ناهنجاری واقعی روشن باشد.
در بخش شناسایی رفتار، نواحی اجرایی غیرمعمول، تفاوت فایل روی دیسک و Mapping حافظه، Thread Start Address و نشانه‌های احتمالی Code Injection یا Process Hollowing تحلیل می‌شوند. یک نتیجه از malfind به‌تنهایی حکم بدافزار بودن نیست و با زمینه پردازش، حفاظت صفحه، ساختار PE و سایر شواهد مقایسه می‌شود. بخش لینوکس نیز به نیازمندی Symbol متناسب با Kernel، پردازش‌ها، ماژول‌ها و اتصال‌های شبکه می‌پردازد. خروجی نهایی، گزارش شواهد RAM با ارجاع به Plugin، Offset و محدودیت Collection است.
مهارت‌هایی که در این دوره دنبال می‌کنید
- انتخاب روش جمع‌آوری RAM و ثبت محدودیت Acquisition
- آماده‌سازی Volatility 3 و تشخیص نیازمندی Symbol
- تحلیل پردازش، ماژول، Handle و شبکه از Memory Image
- بررسی VAD و شواهد احتمالی تزریق کد
- همبستگی RAM با Disk Artifact و Event Log
- تهیه گزارش با Offset، زمان و سطح اطمینان
پیش‌نیازهای فنی
- شناخت Process، Thread، DLL، Handle و Virtual Memory در سطح مقدماتی
- آشنایی با ساختار PE و اجرای برنامه در ویندوز
- تسلط مقدماتی به خط فرمان و مفاهیم DFIR
- آشنایی با لینوکس و Kernel برای بخش حافظه لینوکس
ابزارها و منابع فنی مسیر آموزش
- Volatility 3 و Pluginهای Windows/Linux
- ابزارهای جمع‌آوری RAM سازگار با سیستم هدف
- YARA برای جست‌وجوی الگو در شواهد حافظه
- PE Parser، Strings و ابزارهای تحلیل فایل استخراج‌شده
برنامه آموزشی و سرفصل‌های تخصصی
1. اصول Memory Acquisition و مدیریت شواهد RAM
- تفاوت Snapshot، Memory Dump و Crash Dump
- انتخاب ابزار متناسب با نسخه سیستم‌عامل
- اثر Acquisition روی حافظه و پردازش‌های فعال
- ثبت Hash، زمان، Build و وضعیت میزبان
2. حافظه مجازی؛ Address Translation و Process Space
- تفکیک Virtual Address و Physical Address
- شناخت Page، Page Table و Permission صفحه
- مفهوم Kernel Space و User Space
- محدودیت داده‌های Paged-out و Capture ناقص
3. Volatility 3؛ Layer، Symbol و آماده‌سازی تحلیل
- شناخت Automagic، Layer و Symbol Table
- تشخیص مشخصات تصویر با windows.info
- تفاوت مدل Symbol در Windows و Linux
- عیب‌یابی ناسازگاری Build و کمبود ساختارها
4. Process Forensics؛ pslist، psscan و pstree
- مقایسه فهرست فعال و ساختارهای یافت‌شده با Scan
- تحلیل Parent PID، زمان ایجاد و خاتمه
- بررسی Command Line و نام و مسیر پردازش
- ساخت مجموعه پردازش‌های نیازمند بررسی تکمیلی
5. DLL، Loader و ماژول‌های بارگذاری‌شده
- بررسی dlllist و Mappingهای فایل‌محور
- تحلیل مسیر، Base Address و اندازه ماژول
- مقایسه ماژول بارگذاری‌شده و فایل روی دیسک
- بررسی تفاوت خروجی‌های مبتنی بر List و Scan
6. VAD Analysis و نواحی اجرایی مشکوک
- شناخت Virtual Address Descriptor و Protection
- مقایسه Private و File-backed Memory
- بررسی نواحی اجرایی بدون پشتوانه فایل متناسب
- اعتبارسنجی خروجی malfind و False Positiveها
7. Code Injection و Process Hollowing از دید شواهد
- تحلیل ناسازگاری Image و ناحیه حافظه
- بررسی Thread Start Address و حافظه مقصد
- مقایسه PE Header، Entry Point و Mapping
- ترکیب نشانه‌ها بدون اتکا به یک Plugin
8. Handle، Object و آثار دسترسی پردازش
- بررسی Handleهای File، Registry و Process
- پیوند Objectهای باز با مسیر تحقیق
- تحلیل دسترسی حساس در زمینه Process Tree
- شناخت محدودیت استنباط از Handle باقی‌مانده
9. Network Forensics از RAM و همبستگی Socket
- بررسی netscan و ساختارهای اتصال ویندوز
- پیوند PID، Address، Port و وضعیت اتصال
- تفکیک اتصال فعال و ساختار باقی‌مانده در حافظه
- همبستگی Socket با PCAP و لاگ شبکه
10. استخراج فایل، Strings و جست‌وجوی YARA
- استخراج داده مرتبط با پردازش و Mapping
- محاسبه Hash و حفظ منشأ فایل خروجی
- جست‌وجوی رشته با توجه به Encoding و زمینه
- تفسیر YARA Match به‌عنوان سرنخ تحلیل
11. Linux Memory Forensics و Symbolهای Kernel
- شناخت نیازمندی ISF و Build دقیق Kernel
- بررسی Process، Module و Network Artifact
- مقایسه شواهد User Space و Kernel Space
- ثبت محدودیت تحلیل ناشی از Symbol ناقص
12. پرونده نهایی؛ تحلیل پردازش مشکوک و زنجیره شواهد
- Pivot از اتصال شبکه به Process و VAD
- بررسی ماژول‌ها و ناحیه اجرایی مرتبط
- مقایسه یافته RAM با فایل و رویداد میزبان
- تنظیم گزارش شامل Offset، Plugin و شواهد پشتیبان
سناریوی تمرین و خروجی فنی
یک Memory Image با چند پردازش نیازمند بررسی تحلیل می‌شود. خروجی شامل Process Tree، اتصال‌های مرتبط، جدول VAD و ماژول، تحلیل یک ناحیه اجرایی غیرعادی و گزارش فرضیه Injection است. هر نتیجه باید با مشخصات پردازش، Offset و شواهد تأییدکننده یا ردکننده همراه باشد.
شیوه ارائه و برنامه‌ریزی یادگیری
شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.