Volatility 3 è un framework open source per analizzare immagini di memoria acquisite, spesso chiamate dump della RAM. I suoi plugin modulari esaminano artefatti specifici, come i processi in esecuzione, i moduli caricati o le informazioni relative alla rete, a seconda dell’immagine e del supporto disponibile per i plugin.
La memoria può contenere prove di attività che potrebbero non essere presenti nei file su disco o nei log, rendendo il framework utile per la risposta agli incidenti e le indagini forensi. Gli analisti devono selezionare plugin adeguati e tenere conto del sistema operativo e del contesto dell’immagine; i risultati devono essere convalidati e corroborati con altre prove. Conservare l’immagine originale, registrare i comandi e le versioni degli strumenti e mantenere la catena di custodia aiuta a rendere i risultati riproducibili e difendibili. Volatility 3 supporta l’analisi, ma da solo non dimostra che si sia verificata un’intrusione.