Análise de Forense de Memória com LiME e Volatility

Quando Usar

• Ao investigar incidentes de segurança que exigem análise de forense de memória com LiME e Volatility
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Adquira a memória do Linux usando o módulo do kernel LiME, em seguida, analise com Volatility 3 para extrair artefatos forenses da imagem de memória.

# LiME acquisition
insmod lime-$(uname -r).ko "path=/evidence/memory.lime format=lime"

# Volatility 3 analysis
vol3 -f /evidence/memory.lime linux.pslist
vol3 -f /evidence/memory.lime linux.bash
vol3 -f /evidence/memory.lime linux.sockstat

import volatility3
from volatility3.framework import contexts, automagic
from volatility3.plugins.linux import pslist, bash, sockstat

# Programmatic Volatility 3 usage
context = contexts.Context()
automagics = automagic.available(context)

Etapas chave de análise:

1. Adquirir memória com LiME (formato=lime ou formato=raw)
2. Listar processos com linux.pslist, comparar com linux.psscan
3. Extrair histórico de comandos do bash com linux.bash
4. Listar conexões de rede com linux.sockstat
5. Verificar módulos do kernel carregados com linux.lsmod para rootkits

Exemplos

# Full forensic workflow
vol3 -f memory.lime linux.pslist | grep -v "\[kthread\]"
vol3 -f memory.lime linux.bash
vol3 -f memory.lime linux.malfind
vol3 -f memory.lime linux.lsmod