mcpField
A
analyzing-memory-forensics-with-lime-and-volatility

analyzing-memory-forensics-with-lime-and-volatility

github.com/mukul975セキュリティ35.2k321 回インストール8 週間前に更新
リポジトリ

analyzing-memory-forensics-with-lime-and-volatility について

セキュリティ分析者向けに、LiME で Linux メモリを取得し、Volatility 3 でイメージを調べる手順を示すガイドです。プロセス、シェル履歴、ネットワーク、カーネルモジュールの確認を扱います。

主な機能

  1. 01LiME による Linux メモリ取得
  2. 02Volatility 3 によるイメージ分析
  3. 03プロセス一覧とスキャン結果の比較
  4. 04Bash コマンド履歴の抽出
  5. 05ネットワーク接続とモジュールの確認

活用シーン

  1. 01インシデント対応時のメモリ収集
  2. 02隠れたプロセスや不審なプロセスの確認
  3. 03コマンド履歴とネットワーク活動の調査
  4. 04不審なカーネルモジュールの調査

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-memory-forensics-with-lime-and-volatility

インストール後、Claude Code で/analyzing-memory-forensics-with-lime-and-volatilityを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

LiME と Volatility を使用したメモリフォレンジックの分析

使用する場面

  • LiME と Volatility を使用してメモリフォレンジックを分析する必要があるセキュリティインシデントを調査する場合
  • この分野の検出ルールや脅威ハンティングクエリを作成する場合
  • SOC アナリストがこの種の分析に関する体系的な手順を必要とする場合
  • 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

  • セキュリティ運用の概念とツールに精通していること
  • 安全に実行できるテスト環境またはラボ環境にアクセスできること
  • 必要な依存関係をインストールした Python 3.8+
  • テスト活動に必要な適切な権限があること

手順

LiME カーネルモジュールを使用して Linux のメモリを取得し、Volatility 3 で分析して、 メモリイメージからフォレンジックアーティファクトを抽出します。

# LiME acquisition
insmod lime-$(uname -r).ko "path=/evidence/memory.lime format=lime"

# Volatility 3 analysis
vol3 -f /evidence/memory.lime linux.pslist
vol3 -f /evidence/memory.lime linux.bash
vol3 -f /evidence/memory.lime linux.sockstat

import volatility3
from volatility3.framework import contexts, automagic
from volatility3.plugins.linux import pslist, bash, sockstat

# Programmatic Volatility 3 usage
context = contexts.Context()
automagics = automagic.available(context)

主な分析手順：

  1. LiME でメモリを取得します（format=lime または format=raw）
  2. linux.pslist でプロセスを一覧表示し、linux.psscan と比較します
  3. linux.bash で bash のコマンド履歴を抽出します
  4. linux.sockstat でネットワーク接続を一覧表示します
  5. ルートキットを調べるため、linux.lsmod で読み込まれているカーネルモジュールを確認します

例

# Full forensic workflow
vol3 -f memory.lime linux.pslist | grep -v "\[kthread\]"
vol3 -f memory.lime linux.bash
vol3 -f memory.lime linux.malfind
vol3 -f memory.lime linux.lsmod

コメント

Markdown 対応