Wo werden die Daten im Arbeitsspeicher im Computer gespeichert?
In Memory Dump? oder ist das nur bei Absturz und nicht bei normal Schutdown?
Kann man Forensik untersuchen, was man im Arbeitsspeicher vor einigen Monaten hatte?
3 Antworten
Daten im Arbeitsspeicher werden - und das wird dich überraschen - im Arbeitsspeicher gespeichert. Ist hier der Strom weg, sind auch die Daten im Arbeitsspeicher weg.
Bei sowas wie Hibernate/Tiefschlaf/Ruhezustand wird das üblicherweise in die Swap-Partition oder das Swap-File geschrieben, damit es danach wieder in den Arbeitsspeicher geladen werden kann.
Das einzige, was bei Forensik da funktioniert, ist, wenn es eine Swap-Partition/-Datei gibt, die noch Daten enthält, oder es aufgrund von Fehlern einen Memory Dump etc. gibt.
Arbeitsspeicher und somit das RAM ist flüchtiger Speicher, sprich Strom weg = Daten weg
MemoryDump werden nur Fehlerberichte abgelegt, wenn das System abschmierte unerwartet
Der Arbeitsspeicher (Ram = Random Access Memory) ist sogenannter "flüchtiger Speicher", das heißt, er wird beim Ausschalten des Rechners gelöscht.
Eine Ausnahme bilden virtuelle Maschinen, die z.B. unter VirtualBox oder VMWare laufen. Dort ist es leicht möglich, den Zustand der VM zu speichern und später wieder an der Stelle weiterzumachen, wo aufgehört wurde.
Bei einem Absturz via BSOD (= Blue Screen Of Death) erzeugt Windows zwar ein Absturzabbild (Memory Dump) auf der Systempartition, die Daten im Arbeitsspeicher können nach einem Neustart jedoch nicht wiederhergestellt werden, sind also verloren.
Da es sich beim RAM um flüchtigen Speicher handelt, ist es noch nicht mal möglich festzustellen, was vor dem letzten Shutdown im RAM war - von dem, was vor einigen Monaten drin war, ganz zu schweigen.
Beim Ruhezustand (= Hibernation) wird der Inhalt des RAMs auf den lokalen Datenträger ausgelagert und kann so beim "Aufwachen" wiederhergestellt werden.