Flashcard FC511235
Quais artefatos forenses podem ser extraídos da RAM com o Volatility?
Auditoria de TI e Forense Computacional
Quais artefatos forenses podem ser extraídos da RAM com o Volatility?
Mostrar resposta e comentário
Resposta
Principais artefatos recuperáveis a partir de uma imagem de RAM:• Processos e threads: listas de processos ativos, hierarquia e linhas de execução
• Conexões de rede: sockets, conexões estabelecidas, portas e endereços remotos
• Módulos e DLLs: bibliotecas carregadas e seus endereços, úteis para identificar injeção de código
• Credenciais e chaves: senhas em memória, tokens, chaves criptográficas e caches de autenticação
• Dados voláteis do usuário: clipboard, abas de navegador, dados em formulários e arquivos temporários em memória
Como a banca pode cobrar na prova:
• A banca geralmente apresenta questões pontuais sobre tipos de artefatos que só são obtidos em memória, como credenciais e chaves, então destaque esses itens.
• Fique atento porque é comum confundir dados persistentes em disco com dados voláteis; responda ressaltando que credenciais em memória são voláteis.
• Outro ponto importante é relacionar módulos e injeção de código à detecção de malware, que costuma aparecer em itens de perícia prática.
• Lembre-se de que nem todos os artefatos estarão presentes em toda imagem, então considere contexto temporal e atividades do sistema.
Conteúdo do catálogo FC Concursos · Atualizado em