RB-EVIDENCE-001: Geheugenacquisitie

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Geheugenacquisitie
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Identificatie van de getroffen host (hostnaam, asset-ID, IP, instance-ID)
Toestemming om een geheugendump van de host te maken
Toegang tot de host (lokaal, op afstand, via EDR live response of via de cloudconsole)
Voldoende opslagruimte voor het resulterende image (ter grootte van het fysieke RAM)

Benodigde tools:

Tool voor geheugenacquisitie die past bij het besturingssysteem (bijv. WinPMEM, DumpIt, Magnet RAM Capture, AVML, EDR live response)
Hashingtool (SHA-256)
Veilig overdrachtspad naar de opslag voor bewijsmateriaal

2. Stap-voor-stap-instructies

Veelgemaakte fouten

De host herstarten of uitzetten vóór de acquisitie

Onnodige tools draaien die de geheugenstatus wijzigen

Geen metadata of hashes van de acquisitie vastleggen

De chain of custody kwijtraken tijdens de overdracht

Valideer of geheugenacquisitie nodig is
- Bevestig minstens een van de volgende:
  - Actieve dreigingsactiviteit op de host vermoed
  - Uitvoering in het geheugen vermoed
  - Credential theft of process injection vermoed
  - De host moet forensisch worden veiliggesteld, ongeacht de huidige staat
- Bevestig dat de acquisitie niet meer bewijs vernietigt dan ze veiligstelt (weeg de afwegingen als de tool een herstart of installatie vereist)
Maak de geheugendump op een veilige manier
- Herstart of zet de host niet uit en draai geen onnodige tools vóór de acquisitie
- Maak een volledige dump van het fysieke geheugen met een goedgekeurde tool
- Verifieer dat het resulterende image compleet is en niet nul bytes groot voordat je de host vrijgeeft

3. Na afloop

Zet het image via een veilig pad over naar de aangewezen opslaglocatie voor bewijsmateriaal
Verifieer dat de SHA-256-hash vóór en na de overdracht overeenkomt
Leg de metadata van de acquisitie vast: uitvoerder, tijdstip, host, tool, toolversie en de SHA-256-hash van het resulterende image
Bevestig dat de chain of custody van begin tot eind is vastgelegd (acquisitie → overdracht → opslag)

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.