A Zero-Knowledge Approach to Memory Forensics - TEL - Thèses en ligne Accéder directement au contenu
Thèse Année : 2023

A Zero-Knowledge Approach to Memory Forensics

Une approche à connaissance ulle de l’analyse forensique de la mémoire volatile

Andrea Oliveri

Résumé

The rapid increase of embedded devices and IoT objects is leading to a multiplication of operating systems and processor architectures, which are generally not supported by current forensic tools and require considerable effort to adapt. To overcome this problem, we introduce the concept of zero-knowledge memory forensics: performing a memory forensic analysis without any knowledge of the underlying operating system. Assuming that we have performed a memory dump of the unknown operating system, using only information derived from the machine's hardware configuration, we claim that it is possible to reconstruct the kernel address space independently of the operating system. From these, it is possible to reconstruct kernel data structures in memory using only their topology.
L'essor rapide des appareils embarqués et des objets IoT entraîne une multiplication des systèmes d'exploitation et des architectures de processeurs, qui ne sont généralement pas pris en charge par les outils forensiques actuels et nécessitent un effort considérable pour être adaptés. Pour surmonter ce problème, nous introduisons, le concept d’analyse forensique de la mémoire à connaissance nulle : réaliser une analyse forensique de la mémoire sans aucune connaissance du système d’exploitation sous-jacent. En supposant que nous ayons effectué un dump mémoire du système d’exploitation inconnu, en utilisant uniquement les informations dérivées de la configuration matérielle de la machine, nous affirmons qu’il est possible de reconstruire l’espace d’adressage du noyau de manière indépendante du système d’exploitation. À partir de ceux-ci, il est possible de reconstruire les structures de données du noyau en mémoire en utilisant uniquement leur topologie.
Fichier principal
Vignette du fichier
OLIVERI_Andrea_these_2023.pdf (3.19 Mo) Télécharger le fichier
Origine : Version validée par le jury (STAR)

Dates et versions

tel-04308530 , version 1 (27-11-2023)

Identifiants

  • HAL Id : tel-04308530 , version 1

Citer

Andrea Oliveri. A Zero-Knowledge Approach to Memory Forensics. Computer Aided Engineering. Sorbonne Université, 2023. English. ⟨NNT : 2023SORUS312⟩. ⟨tel-04308530⟩
111 Consultations
223 Téléchargements

Partager

Gmail Facebook X LinkedIn More