for(ensik){blog;}

Es hat mich sehr überrascht, zum ersten Mal den Inhalt des Arbeitsspeichers einen Reboot überstehen zu sehen. Farmer und Venema sind dabei nicht die ersten, die dieses Phänomen beschreiben. Hier sind noch zwei interessante Artikel zu diesem Thema.

Von Andreas Schuster am 25.04.2006, 08:30 Uhr | Permalink

Das Dienstprogramm ddrescue kopiert ähnlich dem bekannteren dd Daten von einer Datei oder einem Gerät in eine andere Datei oder ein anderes Gerät. Dabei ist es auf die Wiederherstellung einer fehlerhafter Quelle spezialisiert.

Von Andreas Schuster am 24.04.2006, 08:30 Uhr | Permalink

Wenn Sie den ersten Teil dieser Anleitung durchgearbeitet haben, dann fragen Sie sich vielleicht, ob es nicht auch einen einfacheren Weg gibt, die Programmdatei wiederherzustellen. Den gibt es, natürlich.

Von Andreas Schuster am 17.04.2006, 18:15 Uhr | Permalink

Am Wochenende hat Harlan Carvey zwei neue Programme zur Analyse von Windows 2000 Speicherabbildern veröffentlicht.

Von Andreas Schuster am 10.04.2006, 20:45 Uhr | Permalink

Eine Pressemitteilung der International Disk Drive Equipment and Materials Association (IDEMA) verkündet, dass Sektoren von Festplatten in Zukunft nicht mehr 512, sondern 4096 Bytes Nutzdaten enthalten sollen.

Von Andreas Schuster am 08.04.2006, 16:35 Uhr | Permalink

Das Netherlands Forensic Institute hat eine neue Version von TULP2G freigeben. Das Programm sichert und analysiert Daten aus Mobiltelefonen.

Von Andreas Schuster am 06.04.2006, 08:30 Uhr | Permalink

In ihrem Buch Forensic Discover sprechen Dan Farmer und Wietse Venema über die Persistenz von Inhalten des Hauptspeichers. Ich hatte derartiges noch nicht beobachten können - bis ich mir die Speicherabbilder der DFRWS Memory Analysis Challenge genauer angesehen habe.

Von Andreas Schuster am 05.04.2006, 08:30 Uhr | Permalink

Arbeitsspeicher kann man eigentlich nie genug haben. Doch wie macht man Kostenstellenverantwortlichen, Laborleitern und Controllern die Kosten dafür schmackhaft? Eine Argumentationshilfe liefert "DigitalCSI" in seinem Blog.

Von Andreas Schuster am 04.04.2006, 07:50 Uhr | Permalink

Aus einem Speicherabbild lassen sich auch die Programmdateien der laufenden Prozesse rekonstruieren. Damit lassen sich selbst auf der Festplatte nicht auffindbare Programme schnell mit einem Virenscanner untersuchen. Dieser Artikel beschreibt Schritt für Schritt die Rekonstruktion.

Von Andreas Schuster am 03.04.2006, 07:30 Uhr | Permalink

Für manche Untersuchungen mag es hilfreich sein, nur den Speicher eines einzelnen Prozesses vorliegen zu haben. Bei einem mit "dd" erzeugten Abbild des physischen Speichers ist die Rekonstruktion mit wenig Aufwand möglich.

Von Andreas Schuster am 02.04.2006, 11:00 Uhr | Permalink