Erklärung
Der Arbeitsspeicher ist flüchtig: Beim Ausschalten oder Neustart gehen seine Inhalte verloren. Zugleich liegen dort Informationen, die für die Aufklärung wichtig sein können: laufende Prozesse, geladene Programmteile, offene Netzwerkverbindungen, Spuren von Schadsoftware, die nur im Speicher existiert, und mitunter Schlüssel für verschlüsselte Datenträger.
Die Sicherung erfolgt durch ein Speicherabbild auf einem laufenden System (Live Forensics). Jede Sicherung greift selbst in das System ein, weil ein Werkzeug gestartet werden muss. Das lässt sich nicht vermeiden, sondern muss dokumentiert und bei der Bewertung berücksichtigt werden. Der Nutzen hängt vom Zustand des Systems ab; bei bereits neu gestarteten Geräten ist der Speicher nicht mehr verfügbar.
Ob eine Speichersicherung sinnvoll ist, ist eine Abwägung, die vom Fall abhängt. Bei einem kompromittierten Server kann sie entscheidende Erkenntnisse liefern, bei einem einfachen Streitfall um Dateien eher nicht.
Typisches Beispiel (schematisch)
Auf einem auffälligen Server wird vor dem Herunterfahren ein Speicherabbild erstellt. Die Analyse zeigt einen Prozess ohne zugehörige Datei auf dem Datenträger.
Bedeutung für Forensik und Ermittlungen
Speicherforensik ergänzt die Datenträgeranalyse um flüchtige Informationen und kann Abläufe klären, die sonst nicht rekonstruierbar wären.
Erkennung und Prävention
Im Verdachtsfall Systeme nicht neu starten oder ausschalten, bevor geklärt ist, ob eine Speichersicherung nötig ist.
Auch gesucht als Memory Forensics, Arbeitsspeicher-Analyse, RAM-Analyse, Hauptspeicheranalyse, Arbeitsspeicherforensik, RAM-Forensik, Speicherabbild