L'analisi della memoria è l'ispezione della RAM di un sistema in esecuzione per individuare codice, dati e stato dei processi che potrebbero non esistere su disco in forma leggibile. Gli analisti della sicurezza la usano per esaminare processi attivi, regioni di memoria allocate, moduli caricati, stringhe decriptate e payload decompattati. Questo è importante perché molti campioni di malware nascondono il loro vero comportamento fino all'inizio dell'esecuzione.
Nella sicurezza informatica, l'analisi della memoria aiuta a rivelare malware offuscato o cifrato dopo che un loader lo ha decompattato, iniettato o ricostruito a runtime. Può esporre shellcode, credenziali, indirizzi di comando e controllo e altri indicatori che una scansione limitata ai file potrebbe non individuare. I difensori usano acquisizione della memoria e strumenti forensi durante la risposta agli incidenti, il sandboxing e il triage degli endpoint per confermare cosa un programma abbia effettivamente fatto in memoria, non solo come appariva su disco.