Podcast
Questions and Answers
¿Cuál es la función principal del formato DWARF?
¿Cuál es la función principal del formato DWARF?
¿Qué se necesita para crear un perfil dwarf del sistema al cual se le ha hecho el volcado?
¿Qué se necesita para crear un perfil dwarf del sistema al cual se le ha hecho el volcado?
¿Cuál de los siguientes comandos de Volatility se usa para mostrar los sockets abiertos?
¿Cuál de los siguientes comandos de Volatility se usa para mostrar los sockets abiertos?
¿Qué tipo de información se puede obtener usando el comando para recuperar el historial de bash?
¿Qué tipo de información se puede obtener usando el comando para recuperar el historial de bash?
Signup and view all the answers
Para realizar la adquisición de evidencias en vivo, ¿dónde se puede crear el perfil?
Para realizar la adquisición de evidencias en vivo, ¿dónde se puede crear el perfil?
Signup and view all the answers
Study Notes
Análisis de Volcado de Memoria (Volatility)
- Para analizar un volcado de memoria, es necesario crear un perfil "dwarf" del sistema.
- DWARF es un formato de datos de depuración estandarizado.
- Un formato de datos de depuración almacena información sobre un programa para su uso por depuradores.
- Se requiere conocer la versión del sistema operativo y la arquitectura de la máquina.
- El perfil se puede crear en la misma máquina o en una forense con la misma arquitectura y versión del sistema.
Adquisición de Evidencias en Vivo con Volatility
-
Se utilizan comandos específicos de Volatility para extraer información de la memoria en tiempo real.
-
Los comandos muestran información sobre interfaces activas, tabla ARP, historial de bash, sockets abiertos, dispositivos montados y módulos del kernel cargados.
-
Comando para interfaces activas:
python vol.py linux_ifconfig -f volcado.mem --profile=UbuntuXXXXX -
Comando para tabla ARP:
python vol.py linux_arp -f volcado.mem --profile=UbuntuXXXXX -
Comando para historial de bash:
python vol.py linux_bash -f volcado.mem --profile=UbuntuXXXXX -
Comando para sockets abiertos:
python vol.py linux_netstat -f volcado.mem --profile=UbuntuXXXXX -
Comando para dispositivos montados:
python vol.py linux_mount -f volcado.mem --profile=UbuntuXXXXX -
Comando para módulos del kernel cargados:
python vol.py linux_lsmod -f volcado.mem --profile=UbuntuXXXXX
Studying That Suits You
Use AI to generate personalized quizzes and flashcards to suit your learning preferences.
Description
Este cuestionario aborda el análisis de volcado de memoria utilizando la herramienta Volatility. Aprenderás a crear perfiles Dwarf y a adquirir evidencias en vivo extrayendo información de la memoria. Se incluirán comandos específicos y conceptos esenciales para el análisis forense en sistemas Linux.
