4. Acquisizione della Memoria

Post Mortem vs Live Analysis

	Post Mortem Analysis	Live Analysis
Sistema	Spento (dead system)	Acceso (live system)
RAM	Non disponibile	Disponibile e volatile
Obiettivo	Analisi del disco	Analisi di RAM + disco
Rischio	Nessuna volatilità	Ogni azione modifica lo stato

La live analysis presenta due problematiche specifiche:

Tecnica: acquisire certi dati (es. RAM) altera inevitabilmente lo stato del sistema
Temporale: lo stato della macchina in un dato momento è irripetibile — non è riproducibile in seguito

Per questo nell'OOV (Order of Volatility) la RAM ha la priorità massima: va acquisita prima di tutto il resto.

Memory Dump

Un memory dump (o memory image) è un'istantanea del contenuto della RAM in un preciso momento. Il processo di acquisizione si chiama memory acquisition o memory imaging.

Esistono diverse tipologie:

1. Formato RAW

Copia esatta del contenuto della RAM. Analogo alle immagini forensi del disco.

❌ Non contiene lo stato del processore (contenuto dei registri CPU)

2. Memory dump automatici di Windows — crash (BSoD)

Quando Windows va in crash grave, mostra la Blue Screen of Death e produce automaticamente un memory dump. Utile per capire la causa del crash (problema con applicativo o driver).

Include tutto ciò che gestisce il Windows Memory Manager (kernel + spazio utente)
❌ Non disponibile su sistemi a 32 bit
❌ Non acquisisce alcuni dati iniziali come password cifrate di autenticazione

3. Memory dump da ibernazione

Quando l'utente iberna il sistema, Windows salva lo stato completo della macchina nel file hiberfil.sys, inclusi i contenuti della RAM e dei registri CPU. Alla riattivazione, ripristina tutto com'era.