実践 メモリフォレンジック ―揮発性メモリの効果的なフォレンジック分析

3章Windowsでのメモリの取得

　これまでの章の解説で、ある程度の理論を理解できたでしょう。本質的には、「理論」と「実践」には差がないはずですが、現実ではその差は存在します。まずは、最も普及しているOSであるWindowsでのメモリの取得からはじめて、実践的な作業を解説しましょう。

　「最も普及している」とは「攻撃者から最も狙われやすい」という意味と同等であり、事故対応や犯罪捜査で実際に調査する可能性が高いということです。よって、Windows端末からのメモリの取得手法から学び始めるのが良いでしょう。

　この章では4つの一般的なツールを用いて、Windowsでのメモリの取得について解説します。ツールの使い幡屋、解析に必要なメモリダンプの作成方法が学べるでしょう。

　この章の内容：

• Windowsでメモリを取得する際の問題
• Windowsでメモリを取得する準備
• FTK Imagerによるメモリの取得
• WinPmemによるメモリの取得
• Belkasoft Live RAM Capturerによるメモリの取得
• Magnet RAM Captureによるメモリの取得

3.1　Windowsでメモリを取得する際の問題

　2章では、メモリダンプの概念と、起こり得る問題について解説しましたが、OSごとに固有の癖があります。Windowsでのメモリの取得に関する主な問題は、RAM（Random Access Memory）へのアクセスです。

　先述の通り、デバイスメモリ（Device Memory）はデバイスのために予約された物理メモリ（Physical Memory）のメモリ領域です。デバイスは、ビデオカード、オーディオカード、PCI（Peripheral Component Interconnect） ...