Работа в привилегированном режиме позволяет программе обходить защиту, устанавливаемую активными системами противодействия отладке. В результате Belkasoft RAM Capturer способен получать точный слепок областей оперативной памяти, которые остаются недоступными для аналогичных программ, работающих в пользовательском режиме. Образ памяти, полученный с помощью Belkasoft RAM Capturer, может быть проанализирован криминалистическим продуктом компании Belkasoft Evidence Center с помощью функции Live RAM Analysis. Исследование образа оперативной памяти компьютера позволяет криминалистам обнаруживать данные, не попадающие на жёсткий диск, такие как чаты, общение в социальных сетях и переговоры в онлайновых многопользовательских играх. Снятие слепков оперативной памяти защищённых процессов Многие программы, включая популярные многопользовательские игры, а также вредоносное ПО защищают свои процессы от исследования с помощью отладочных инструментов. В таких программах используются активные системы противодействия отладке, способные обнаружить и тем или иным образом предотвратить попытку других программ считать данные из областей памяти, занимаемых защищёнными процессами. В лучшем случае попытка использования отладчика не удаётся - вместо интересующей исследователя информации в защищённой области обнаруживаются нули или случайные данные. В худшем случае происходит зависание компьютера, делающее дальнейшее исследование невозможным. Для предотвращения подобного развития событий необходимо использование инструментария, работающего в привилегированном режиме ядра операционной системы. В поставку Belkasoft RAM Capturer входят 32- и 64-разрядные версии драйверов, работающих в режиме ядра и позволяющих корректно обрабатывать области данных, принадлежащие защищённым процессам. Сравнение с аналогами Эксперты «Белкасофт» провели тестирование популярных продуктов для снятия образов памяти. Были опробованы программы AccessData FTK Imager 3.0.0.1443, PMDump 1.2 и собственный продукт компании - Belkasoft RAM Capturer. Для тестирования была выбрана защищённая игра Karos. В процессе тестирования запускалась игра Карос, производилась переписка с использованием внутреннего чата игры. Затем с использованием одного из инструментов, не выходя из игры, производилась попытка снятия образа памяти. В результате тестирования обнаружилось, что AccessData FTK Imager 3.0.0.1443 вместо осмысленных данных выдал нули, а PMDump 1.2 не смог считать область памяти, занимаемую защищённым процессом. Belkasoft RAM Capturer оказался единственным инструментом, выдавшим корректный и точный образ данных защищённого процесса. Системные требования и совместимость Belkasoft RAM Capturer совместим со всеми 32- и 64-разрядными версиями Windows включая Windows XP, Windows Vista, Windows 7 и 8, 2003 и 2008 Server. Программа не требует установки и может быть запущена с внешнего флеш-накопителя. Стоимость Belkasoft RAM Capturer распространяется бесплатно. О компании «Белкасофт» Компания «Белкасофт» - независимый разработчик криминалистического программного обеспечения и продуктов по IT безопасности. Компания зарегистрирована в 2010 году в Санкт-Петербурге. Продуктами компании пользуются такие клиенты, как СКРФ, МВД, ФСБ, ФСКН, Министерство Юстиции, а также спецслужбы других стран - ФБР, Секретная служба США, армия США, полицейские участки Америки, Европы, Австралии и Новой Зеландии, аудиторский дом PricewaterhouseCoopers, компания Ernst & Young и многие другие. Дополнительная информация о компании доступна по ссылке http://ru.belkasoft.com/ru/ Информация о продукте: http://ru.belkasoft.com/ru/memory-dump Скачать Belkasoft RAM Capturer по ссылке http://ru.belkasoft.com/ru/bfs/download.asp Контактная информация: Компания «Белкасофт» Санкт-Петербург, Россия http://ru.belkasoft.com/ru/ contact@belkasoft.com