Volatility

Définition

Volatility désigne un framework open source de référence pour l'analyse forensique de la mémoire vive, capable d'extraire et d'interpréter une large gamme d'artefacts à partir d'une capture mémoire brute d'un système compromis : liste des processus en cours d'exécution au moment de la capture, connexions réseau actives, modules chargés, clés de registre en mémoire, et dans certains cas des fragments de code malveillant injecté directement en mémoire sans jamais avoir été écrit sur le disque, une technique d'évasion échappant structurellement à toute analyse forensique classique fondée sur l'inspection du système de fichiers. L'outil s'appuie sur une compréhension détaillée des structures internes de chaque système d'exploitation et de leur version spécifique pour interpréter correctement le contenu brut de la mémoire capturée, une capacité continuellement mise à jour par la communauté à mesure que de nouvelles versions de systèmes d'exploitation sont publiées. Bien qu'il s'agisse fondamentalement d'un outil d'analyse forensique défensive plutôt qu'offensif, sa maîtrise reste essentielle aux équipes red team et aux auditeurs pour comprendre précisément quels artefacts un incident réel laisserait en mémoire et pour valider en conditions réelles l'efficacité de techniques d'évasion échappant à l'analyse disque classique. Pour une équipe de réponse à incident, Volatility constitue un outil indispensable pour reconstituer la chronologie d'une compromission et détecter des implants résidant exclusivement en mémoire sans jamais toucher le disque.