Volatility Framework'ü Öğrenirken Yaptığım En Büyük Hatalar

Volatility Framework, bellek (RAM) analizinin en güçlü aracıdır. Ama ben başlarken birkaç kritik hataya düştüm ve bunları paylaşmak istiyorum.

1. Profil Seçimini Göz Ardı Etmek

Volatility'nin en önemli adımı doğru profili seçmektir. Windows 10 64-bit bellek dumpı için Windows10x64 profilini kullanmak zorunludur. Yanlış profil seçerseniz tüm analiz yanlış sonuç verir. Ben başta bu kadar önemli olmadığını düşünüp rastgele profil kullanmıştım.

2. Bellek Dumpını Doğru Almamak

Bellek dumpu alırken FTK Imager veya DumpIt gibi doğru araçları kullanmalısınız. Eksik veya bozuk dump, Volatility'nin hiçbir şey bulamamasına neden olur. Dumpu alırken sistem hala çalışıyorsa, en son anlık görüntüyü yakalamış olabilirsiniz.

3. Eklentileri Kullanmamak

Volatility'nin gücü eklentilerinde gizlidir. pslist, psscan, netscan, filescan gibi eklentileri bilmeyince sadece temel bilgi alıyordum. Şimdi her analiz başında hangi eklentinin ne işe yaradığını not tutuyorum.

4. Zamanlamayı Kontrol Etmemek

Proseslerin başlangıç zamanı, ağ bağlantılarının kurulduğu zaman gibi zaman bilgilerini görmezden geliyordum. `timeliner` eklentisi ile tüm olayları kronolojik sıraya koyunca şüpheli aktiviteleri çok daha kolay buldum.

5. Volatility 2 ve 3 Arasındaki Fark

Volatility 3 tamamen yeniden yazılmış. Python 3 kullanıyor, plugin mimarisi daha temiz. Ama ben eski komutları yeni versiyonda kullanmaya çalışıp kafam karıştı. İkisi arasındaki syntax farkını öğrenmek gerekiyor.

Pratik İpucu: Önce `imageinfo` veya `windows.info` ile dumpu tanıyın. Sonra `psscan` ile gizli prosesleri arayın. Son olarak `netscan` ile ağ bağlantılarını kontrol edin. Bu sıra çoğu zaman yeterlidir.