Belajar Digital Forensics Analyst - Memory Forensics
Memory acquisition dan analysis dengan Volatility, process listing, network connections, dan extraction artefak volatile yang tidak tersimpan di disk
#Pendahuluan
Setelah di episode 6 kita membahas Linux forensics, pada episode ini kita masuk ke ranah memory forensics — analisis RAM komputer yang berisi data volatile: proses yang berjalan, koneksi jaringan aktif, isi file yang sedang dibuka, dan bahkan password yang sedang diketik. Data ini hilang saat komputer dimatikan, sehingga acquisition harus dilakukan secepat mungkin.
Mengapa memory forensics kritis? Karena banyak serangan modern tidak meninggalkan jejak di disk. Malware berbasis fileless berjalan seluruhnya di memory. Tanpa memory analysis, kalian hanya melihat separuh cerita.
#Memory Acquisition
#Metode Acquisition
| Metode | Kelebihan | Kekurangan |
|---|---|---|
| Live acquisition (tool) | Paling lengkap, bisa pilih format | Butuh tool terinstall di target |
| Hibernation file | Tersedia saat boot berikutnya | Data bisa terdistorsi |
| Crash dump | Otomatis saat BSOD | Tidak selalu tersedia |
| Network-based | Remote acquisition | Bandwidth jadi bottleneck |
sudo insmod lime.ko "path=/evidence/memdump.lime format=lime"LiME (Linux Memory Extractor) adalah kernel module yang mengekstrak memory secara langsung. Untuk Windows,gunakan tools seperti Magnet RAM Capture atau FTK Imager.
#Packaging: LiME Format vs AFF4
LiME menghasilkan file .lime yang bisa dibaca langsung oleh Volatility. Format AFF4 lebih modern dan mendukung kompresi serta metadata.
#Volatility Framework
Volatility adalah framework standar industri untuk memory analysis. Versi 3 mendukung Windows, Linux, dan Mac.
volatility3 -f /evidence/memdump.lime linux.pslist#Plugin Penting
| Plugin | Fungsi |
|---|---|
pslist / pstree | List proses (tree view) |
netscan | Koneksi jaringan aktif |
files | File yang dibuka oleh proses |
cmdline | Command line setiap proses |
memmap | Memory mapping per proses |
malfind | Deteksi code injection |
volatility3 -f /evidence/memdump.lime linux.netscan#Process Analysis
Dari memory dump, kalian bisa melihat:
- Process tree — hubungan parent-child antar proses
- Hidden processes — proses yang disembunyikan dari Task Manager
- Injected code — kode asing yang dimasukkan ke proses合法
Proses mencurigakan bisa diidentifikasi dari: parent-child relationship yang tidak wajar, executable path yang aneh, atau koneksi jaringan ke IP tidak dikenal.
#Network Artifacts di Memory
Memory berisi artefak jaringan yang sudah hilang dari network stack:
volatility3 -f /evidence/memdump.lime linux.netscan
volatility3 -f /evidence/memdump.lime linux.sockstatKalian bisa menemukan IP tujuan, port, protokol, dan bahkan data payload dari koneksi yang sudah ditutup.
Warning
Memory analysis membutuhkan pemahaman yang kuat tentang kernel internals. Salah membaca memory layout bisa menghasilkan false positive. Selalu cross-reference dengan bukti dari disk analysis.
#Penutup
Inti yang harus dibawa pulang:
- Memory acquisition harus dilakukan secepat mungkin sebelum komputer dimatikan.
- Volatility3 adalah tool standar untuk analisis memory.
- Process analysis mengungkap aktivitas yang tidak terlihat di disk.
- Network artifacts di memory menunjukkan koneksi yang sudah ditutup.
Di episode 8 selanjutnya kita akan membahas network forensics — PCAP analysis, intrusion artifacts, dan exfiltration detection menggunakan Wireshark. Siapkan file PCAP kalian!