Volatility 3

01무엇이고, 어떤 일을 하나

• 메모리의 운영체제·프로세스·모듈 구조를 해석한다.
• 관련 플러그인으로 파일·네트워크·행위 흔적을 좁힌다.
• 분석 출력과 로그·디스크 자료를 사건의 시간축에 연결한다.

02어떤 순서로 동작하나

1. 이미지·Symbol

   먼저 이미지 형식·OS·아키텍처·symbol 조건을 확인한다. 필요한 symbol이 없거나 plugin이 실패한 경우를 “아티팩트 없음”으로 해석하지 않는다.

2. Plugin 버전

   설치한 버전의 help에서 plugin 이름과 옵션을 확인하고 사용한 버전을 결과에 기록한다.

3. 프로세스 교차검증

   pslist·pstree·psscan 같은 서로 다른 관점의 프로세스 목록을 비교하고 부모-자식 관계, 실행 경로·시각과 종료 상태를 대조한다. scan에서만 보인 객체는 숨김의 후보일 수 있지만 이미 종료된 프로세스의 흔적일 수도 있다.

4. 이름·악성 판단

   이름이 시스템 프로세스와 같다는 이유만으로 정상이라고 판정하지 않는다.

5. Mapping·실행 영역

   netscan의 연결 객체, dlllist의 모듈, 실행 가능 mapping과 주입 탐지 후보를 같은 프로세스 문맥에서 연결한다. malfind 계열의 결과는 검토할 후보이며 JIT·정상 보안 제품 등도 유사 특징을 가질 수 있다.

6. 파일 추출 한계

   dumpfiles 결과는 파일의 완전성과 형식을 검사한 뒤 디스크·EDR·네트워크 근거와 비교한다.

03먼저 알아둘 용어와 구성요소

Memory layer

파일의 바이트와 가상 주소 등을 해석하는 계층.

Symbol

운영체제 구조와 필드 위치를 해석하는 정보.

Plugin

특정 구조·흔적을 분석하여 결과를 내는 기능.

Artifact

분석으로 얻는 프로세스·연결·파일 등의 조사 흔적.

PID

프로세스 식별 번호로 존재 시점과 문맥을 함께 봐야 하는 값.

Mapping

프로세스 가상 주소와 메모리 영역의 관계.

04예제로 따라가기

• 프로세스 목록에 보인 이름만으로 악성 여부를 정하지 않고 부모·명령줄·로드 모듈·관련 파일을 대조한다.
• 플러그인이 필요한 심볼을 찾지 못하면 출력 없음이 아니라 분석 조건 실패로 기록한다.
• 메모리의 연결 흔적과 방화벽·서버 로그를 비교하면 같은 시점의 관찰 범위 차이를 설명할 수 있다.

05혼동하기 쉬운 점과 확인 기준

• Volatility 2용 프로필·플러그인 사용법을 Volatility 3에 그대로 적용하지 않는다.
• 메모리 획득 시점 이후의 사건이나 획득에서 빠진 영역을 결과가 포함한다고 가정하지 않는다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.