Memory Dump — Acquisition de la mémoire vive

Pourquoi dumper la RAM

La mémoire volatile contient processus en cours, clés de chiffrement, connexions réseau, malware fileless et credentials en clair. Elle disparaît à l'extinction : son acquisition est prioritaire (ordre de volatilité).

Acquisition Linux

# LiME (Linux Memory Extractor)
insmod lime.ko "path=/mnt/dump.lime format=lime"

# AVML (Microsoft, statique)
./avml output.lime

# /proc/kcore (lecture directe noyau)

Acquisition Windows

# WinPmem
winpmem.exe -o memory.raw

# DumpIt (un clic, format raw)
DumpIt.exe

# Fichiers d hibernation / crash dump
hiberfil.sys, MEMORY.DMP, pagefile.sys

Bonnes pratiques

Acquérir sur un support externe, calculer un hash (SHA-256) immédiatement, documenter l'heure et l'outil (chaîne de custody), puis analyser une copie avec Volatility — jamais l'original.