Une approche à connaissance ulle de l’analyse forensique de la mémoire volatile

A Zero-Knowledge Approach to Memory Forensics

• Auteur / Autrice : Andrea Oliveri
• Direction : Davide Balzarotti
• Type : Thèse de doctorat
• Discipline(s) : Sciences de l'ingénieur
• Date : Soutenance le 04/10/2023
• Etablissement(s) : Sorbonne université
• Ecole(s) doctorale(s) : École doctorale Informatique, télécommunications et électronique de Paris (1992-...)
• Partenaire(s) de recherche : Laboratoire : Institut EURECOM (Sophia-Antipolis, Alpes-Maritimes)
• Jury : Président / Présidente : Aurélien Francillon
• Jury : Examinateurs / Examinatrices : Fabio Pagani, Sarah Zennou
• Jury : Rapporteurs / Rapporteuses : Stefano Zanero, Andrea Lanzi

Mots clés

Mots clés contrôlés

Adressage calculé (informatique)

Systèmes informatiques -- Mesures de sûreté

Ordinateurs -- Mémoires

Systèmes d'exploitation (ordinateurs)

Mots clés libres

Analyse forensique de la mémoire

Sécurité numérique

Systèmes d'exploitation

Memory Forensics

Digital Security

Operating Systems

Résumé

L'essor rapide des appareils embarqués et des objets IoT entraîne une multiplication des systèmes d'exploitation et des architectures de processeurs, qui ne sont généralement pas pris en charge par les outils forensiques actuels et nécessitent un effort considérable pour être adaptés. Pour surmonter ce problème, nous introduisons, le concept d’analyse forensique de la mémoire à connaissance nulle : réaliser une analyse forensique de la mémoire sans aucune connaissance du système d’exploitation sous-jacent. En supposant que nous ayons effectué un dump mémoire du système d’exploitation inconnu, en utilisant uniquement les informations dérivées de la configuration matérielle de la machine, nous affirmons qu’il est possible de reconstruire l’espace d’adressage du noyau de manière indépendante du système d’exploitation. À partir de ceux-ci, il est possible de reconstruire les structures de données du noyau en mémoire en utilisant uniquement leur topologie.

The rapid increase of embedded devices and IoT objects is leading to a multiplication of operating systems and processor architectures, which are generally not supported by current forensic tools and require considerable effort to adapt. To overcome this problem, we introduce the concept of zero-knowledge memory forensics: performing a memory forensic analysis without any knowledge of the underlying operating system. Assuming that we have performed a memory dump of the unknown operating system, using only information derived from the machine's hardware configuration, we claim that it is possible to reconstruct the kernel address space independently of the operating system. From these, it is possible to reconstruct kernel data structures in memory using only their topology.