Package: volatility (2.6.1-1)

[ Source: volatility  ]

Avanceret kriminalteknisk ramme for hukommelse

Volatility Framework er en fuldstændig åben samling af værktøjer for udtrækningen af digitale artefakter fra flygtige hukommelsesprøver (RAM). Det er nyttigt i kriminaltekniske analyse. Udtrækningsteknikker udføres fuldstændig uafhængigt af systemet under undersøgelse men tilbyder uovertruffen synlighed i kørselstidstilstanden for systemet.

Volatility understøtter hukommelsesdump fra alle væsentlige 32-bit og 64-bit Windows-versioner og opdateringspakker. Om dit hukommelsesdump er i råt format, et Microsoft-crashdump, hibernation-fil eller et øjebliksbillede for en virtuel maskine så kan Volatility arbejde med det.

Hukommelsesdump for Linux i rå format eller LiME-format er også understøttet. Der er flere udvidelsesmoduler for analyse af hukommelsesdump fra 32- og 64-bit Linuxkerner og relevante distributioner såsom Debian, Ubuntu, openSUSE, RedHat, Fedora, CentOS, Mandriva, etc.

Volatility understøtter også flere versioner af Mac OSX-hukommelsesdump, både 32- og 64-bit. Androidtelefoner med ARM-processorer er også understøttet.

Dette er nogle af de data, som kan udtrækkes fra et hukommelsesaftryk:

 - Billedinformation (dato, tid, CPU-antal)
 - Kørende processer
 - Åbne netværkssokler og forbindelser
 - OS-kernemoduler indlæst
 - Hukommelseskort for hver proces
 - Kørbare eksempler
 - Kommandohistorik
 - Mistænkelige procesoversættelser (f.eks indskudt kode)
 - Adgangskoder, som LM/NTLM-hasher og LSA-hemmeligheder
 - Mellemlagrede Truecrypt-adgangsfraser
 - Andre

Nuværende versioner (2.6) understøtter undersøgelser af hukommelsesaftryk fra disse operativsystemer:

 - 32-bit Windows XP Service Pack 2 og 3
 - 32-bit Windows 2003 Server Service Pack 0, 1, 2
 - 32-bit Windows Vista Service Pack 0, 1, 2
 - 32-bit Windows 2008 Server Service Pack 1, 2 (der er ingen SP0)
 - 32-bit Windows 7 Service Pack 0, 1
 - 32-bit Windows 8, 8.1 og 8.1 Update 1
 - 32-bit Windows 10 (oprindelig understøttelse)
 - 64-bit Windows XP Service Pack 1 og 2 (der er ingen SP0)
 - 64-bit Windows 2003 Server Service Pack 1 og 2 (der er ingen SP0)
 - 64-bit Windows Vista Service Pack 0, 1, 2
 - 64-bit Windows 2008 Server Service Pack 1 og 2 (der er ingen SP0)
 - 64-bit Windows 2008 R2 Server Service Pack 0 og 1
 - 64-bit Windows 7 Service Pack 0 og 1
 - 64-bit Windows 8, 8.1 og 8.1 Update 1
 - 64-bit Windows Server 2012 og 2012 R2
 - 64-bit Windows 10 (inklusive mindst 10.0.14393)
 - 64-bit Windows Server 2016 (inklusive mindst 10.0.14393.0)
 - 32--bit Linuxkerner fra 2.6.11 to 4.2.3
 - 64--bit Linuxkerner fra 2.6.11 to 4.2.3
 - 32-bit 10.5.x Leopard (den eneste 64-bit 10.5 er Server, som
   ikke er understøttet)
 - 32-bit 10.6.x Snow Leopard
 - 64-bit 10.6.x Snow Leopard
 - 32-bit 10.7.x Lion
 - 64-bit 10.7.x Lion
 - 64-bit 10.8.x Mountain Lion (der er ingen 32-bit version)
 - 64-bit 10.9.x Mavericks (der er ingen 32-bit version)
 - 64-bit 10.10.x Yosemite (der er ingen 32-bit version)
 - 64-bit 10.11.x El Capitan (der er ingen 32-bit version)
 - 64-bit 10.12.x Sierra (der er ingen 32-bit version)
 .

Volatility understøtter en række prøvefilformater:

 - Raw lineær prøve (dd)
 - Hibernationfil (fra Windows 7 og tidligere)
 - Crash dump-fil
 - VirtualBox ELF64-kernedump
 - VMware-gemt tilstand og øjebliksbilleder
 - EWF-format (E01)
 - LiME-format
 - Mach-O-filformat
 - QEMU-virtuelle maskinedump
 - Firewire
 - HPAK (FDPro)

Other Packages Related to volatility

• dep: python

  Interaktivt objektorienteret sprog på højt niveau - Python 2-version

• dep: python-crypto

  Kryptografiske algoritmer og protokoller for Python

• dep: python-distorm3

  powerful disassembler library for x86/AMD64 binary streams (Python bindings)

• dep: python-openpyxl

  Pythonmodul til at læse/skrive OpenXML xlsx/xlsm-filer

• dep: python-pil

  Python Imaging Library - Pillow-forgrening

• dep: python-tz

  Pythonversion af Olsons tidszonedatabase

• dep: python-yara

  Python 2 bindings for YARA

• dep: volatility-tools (>= 2.4.1-1)

  Opret profiler til Volatility Framework

• sug: libraw1394-11

  bibliotek for direkte adgang til IEEE 1394-bussen (også kendt som FireWire)

• sug: lime-forensics-dkms

  Kernemodul til hukommelsesdump (DKMS)

Download volatility

Download for all available architectures

Architecture	Package Size	Installed Size	Files
all	1,063.6 kB	27,745.0 kB	[list of files]