Bellek dökümü alma yöntemleri, bir sistemin uçucu belleğini yani RAM’ini adli inceleme için diske kopyalamanın yollarıdır. RAM, çalışan süreçleri, açık ağ bağlantılarını, şifre çözme anahtarlarını ve diske hiç yazılmayan zararlı kodu barındırdığı için, kapatılan bir makinede sonsuza dek kaybolan kanıtları içerir. Bu yüzden bellek edinimi, çoğu olayda müdahalenin ilk ve en zaman kritik adımıdır.

Bellek dökümü, makine kapandığında yok olacak kanıtı, o an dondurup diske sabitleme işlemidir.

Yazılım Tabanlı Edinim

En yaygın yöntem, çalışan sistem üzerinde bir edinim aracının çalıştırılıp fiziksel belleğin okunmasıdır. Bu araç bir çekirdek sürücüsü aracılığıyla RAM’e erişir ve içeriği bir dosyaya yazar. Yöntemin doğasında bir çelişki vardır: aracın kendisi de belleğe yerleşir ve bir miktar iz bırakır. Bu ayak izini olabildiğince küçük tutmak, edinilen imajın güvenilirliğini korur. Elde edilen döküm daha sonra süreç listeleri, enjekte edilmiş kod ve gizli bağlantılar için ayrıştırılır; bu ayrıştırma, Bellek adli analizi disiplininin asıl konusudur.

Diskteki Bellek İzleri

Sistem çalışırken doğrudan döküm alınamadığında, belleğin diske düşmüş parçalarına başvurulur. Windows’ta hazırda bekletme dosyası, makine uykuya geçerken RAM’in tamamının sıkıştırılmış bir kopyasını içerir; sayfa dosyaları ise belleğin taşan bölümlerini barındırır. Bir sistem çöktüğünde oluşan crash dump da benzer değer taşır. Bu artefaktlar canlı edinim kadar tam olmasa da, cihaz kapalı geldiğinde geçmiş bir bellek durumuna pencere açar ve bu izlerin çıkarılması Dosya sistemi adli analizi ile birlikte yürür.

Sanal ve Bulut Ortamlar

Sanal makinelerde bellek edinimi çok daha temizdir, çünkü hipervizör konuk makinenin RAM’ini bir dosya olarak dışarı yazabilir; bu, konuk sisteme hiç dokunmadan tutarlı bir döküm sağlar. Bir sanal makinenin duraklatılması ya da anlık görüntüsünün alınması, o anki bellek durumunu olduğu gibi dondurur. Aynı mantık bulutta da geçerlidir ve buradaki döküm, incelenen zararlının davranışını çözmek için sıklıkla Zararlı yazılım analizi ile birleştirilir.

Yöntem seçimini belirleyen en önemli etken, edinimin uçuculuk sırasına uygun yapılmasıdır. RAM, disk imajından önce alınır; çünkü makineyi kapatmak ya da uzun süre işlem yapmak, belleğin değerli bölümlerini üzerine yazar. Bu nedenle müdahale ekibi, gereksiz her komutun kanıtı bozabileceğini bilerek hareket eder ve mümkünse edinim aracını harici bir ortamdan çalıştırır.

• Canlı yazılım edinimi: çalışan sistemde en tam döküm, ama küçük bir ayak izi
• Hazırda bekletme ve sayfa dosyaları: kapalı cihazda geçmiş bellek penceresi
• Sanal makine anlık görüntüsü: konuğa dokunmadan tutarlı kopya
• Bulut anlık görüntüleri: erişimi kısıtlı ortamlar için ölçeklenebilir yöntem

Doğru zamanda ve doğru yöntemle alınmış bir bellek dökümü, çoğu zaman bir saldırının en kritik kanıtını taşır: diske hiç yazılmayan kodu ve saldırganın o anki oturumunu. Privia Security, bellek edinimini olay müdahalesinin ilk saatlerine yerleştirir ve DFIR adli analiz ve olay müdahalesi sürecinde bu kanıtı diğer kaynaklarla birleştirir; derinlemesine bir inceleme gerektiğinde adli analiz ekibimiz dökümü uçtan uca çözümler.