アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

SIFT Workstation 3.0 に含まれるツールの確認(2) Rekall

昨日に引き続き、SIFT 3.0 に含まれるツールの Rekall Memory Forensic Framework についても確認したいと思います。*1

 

The Rekall Memory Forensics Framework

https://code.google.com/p/rekall/

 

Webを見ると2013/12/22に正式に立ち上がったプロジェクトという事のようですので比較的新しいツールという事になりそうですね。*2

まずは Readmeを確認してみますが、対応しているメモリイメージは限定的に見えます。ただし、Windows以外の Linux と OSX に対応している部分がある意味このツールの特徴なのでしょうか。 

https://code.google.com/p/rekall/source/browse/README.txt

* Microsoft Windows XP Service Pack 2 and 3

* Microsoft Windows 7 Service Pack 0 and 1

* Linux Kernels 2.6.24 to 3.10.

* OSX 10.6-10.8.

使い方に関してはチュートリアルのページで確認する事ができます。

http://docs.rekall.googlecode.com/git/tutorial.html

Example: Running plugin from command line.

$ rekal -f xp-laptop-2005-06-25.img --profile WinXPSP2x86 pslist

コマンドラインの並びですが、プロファイルの与え方やコマンドの並びとしてはVolatility Framework と同じように見えますね。このプロジェクトってVolarilityと兄弟的なプロジェクトとかなんですかね?

 

チュートリアルのドキュメントで興味深いのは、下記のLiveでのメモリ解析という部分ですね。対象PCにLiveでメモリへアクセス可能なデバイスドライバをロードし、そのドライバ経由でRekallのコマンドを動かす事ができるようですね。

 

Rekall Memory Forensics Tutorial.

http://docs.rekall.googlecode.com/git/notebooks/Rekall%20Tutorial.html

 

ドライバのロードとも関連するツールとしては、WinPmem が存在するようですが、これはメモリイメージの取得ツールという位置付けです。

サポートとしているWindows系OSとしてはかなり広範囲ですね。

 

http://docs.rekall.googlecode.com/git/pmem.html

Supports all windows versions from WinXP SP2 to Windows 8 in both i386 and amd64 flavours.

 

Mac OS X向けにはこれとは別に OSXPMem が提供されています。チュートリアルにはLinux用の使いかについて特に記載がない気もしますが、ダウンロードページにはPmem Linuxというのが提供されています。

 

Linux向けのチュートリアルがなかったのですが、Googleで検索してみたところ、下記の記事を見つけることができました。

 

Linux Memory Dump with Rekall

http://isc.sans.edu/diary/Linux+Memory+Dump+with+Rekall/17775

 

Windows用を含め、個別のプラグインのドキュメントが見当たらないのですが、この辺りは実際に動かして試してみないと理解が進まないですね。

 

*1:残念ながらまだ SIFT 3.0 がダウンロードできてないので実際に色々と試せないんですよね

*2:テクニカルプレビューはもっと前から公開されていたようですね