La RAM è la fonte forense più ricca e più fragile: contiene ciò che i dischi non hanno – chiavi di cifratura, processi in esecuzione (incluso il malware fileless che non tocca il disco), connessioni di rete attive, comandi in chiaro, credenziali in memoria. E sparisce allo spegnimento: per questo, in un incidente, si isola la macchina senza spegnerla.
La procedura:
- acquisizione – un dump della memoria con strumenti dedicati (WinPmem, LiME su Linux, AVML), rispettando l'ordine di volatilità (la RAM per prima) e la catena di custodia (hash, documentazione). L'acquisizione stessa altera un po' la memoria: è inevitabile e va documentato
- analisi – Volatility è lo standard: elenca processi (anche quelli nascosti alla vista del sistema – i rootkit si smascherano qui), connessioni di rete, DLL iniettate, chiavi di cifratura estraibili, artefatti di process injection
È la disciplina che risponde a "cosa stava facendo la macchina nell'istante della compromissione?" – domanda a cui il disco, che vede solo ciò che è stato scritto, non può rispondere. Fondamentale contro il malware moderno che vive in memoria per non lasciare tracce; complementare all'analisi degli artefatti su disco.