アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

クラッシュダンプファイルのサイズとRAMサイズ

確か OS がクラッシュダンプを作成する時は Pagefile.sys を使っていた気がしたのでちょっと調べていたところ、Wizard Bible vol.10 で関連する記事を見つけたのですが、搭載 RAM サイズでも影響があるケースがあるんですね。

2 GB 以上の RAM が搭載されたコンピュータでは完全メモリ ダンプを使用できない
http://support.microsoft.com/default.aspx?scid=kb;ja;274598
Cannot Create a Memory.dmp File on Computers with over 4 GB RAM
http://support.microsoft.com/kb/241046/en-us/

この制限って稼働中にクラッシュダンプ作る場合にも影響出たりするんですかねぇ、ちょっと注意する必要がありそうですね。
ということで、XP(32bit)+4GB メモリ搭載の環境で、LiveKD を使ってクラッシュダンプファイルを作成してみましたが、ファイル自体は3,396,792KBで作成されましたので特に問題ないんですかね。*1
ついでに?クラッシュダンプに、メモリ以外で含まれる情報についてもKB274598に記述がありますね。
サポート技術情報 文書番号: 274598 - 最終更新日: 2007年12月3日 - リビジョン: 9.4「2 GB 以上の RAM が搭載されたコンピュータでは完全メモリ ダンプを使用できない」より引用ここから

完全メモリ ダンプ ファイルでは、メモリの内容のダンプに加え、Windows によってヘッダーの書き込みが行われるため、1 MB 余分に必要です。ヘッダーにはクラッシュ ダンプの署名が含まれ、いくつかのカーネル変数の値が指定されます。ヘッダー情報に必要な容量は 1 MB 未満ですが、ページング ファイルは 1 MB 単位で増加します。

引用ここまで。
Win32dd などでメモリダンプを実行した場合、「いくつかのカーネル変数の値」ってのが取れないってことになるんでしょうかね?

*1:OS側では完全メモリダンプの選択肢は出てこない状態です