Volatility 3 — 보안 분석 및 진단

RAM 덤프 파일을 분석해 실행 중이던 프로세스·파일·네트워크 흔적을 복원하는 메모리 포렌식 프레임워크입니다.

기본 정보

이 프로그램은 무엇인가?

Volatility 3는 시스템 RAM을 덤프한 이미지를 분석해 그 시점의 메모리에 남았던 정보를 뽑아 내는 포렌식 프레임워크입니다. 실행 중이던 프로세스 목록, 열려 있던 파일·소켓, 로그인 세션, 주입된 코드 흔적 등을 사후에 복원할 수 있습니다.

분석 작업은 플러그인 단위로 수행합니다. OS 버전에 맞는 심볼을 제공하면 windows.pslist·linux.pslist 같은 플러그인이 목록을 출력합니다. 2025년 Volatility 2가 폐기되면서 현재 표준은 Volatility 3입니다.

어떤 문제를 해결하는가?

• ('침해 사고 대응에서', '감염 시점의 프로세스·네트워크 연결을 확인해야 할 때', 'RAM 덤프만으로 당시 실행 상태를 재구성할 수 있습니다.')
• ('포렌식에서', '파일이 지워져도 메모리에 남은 흔적이 필요한 때', '삭제된 파일 조각·명령줄 인자 등을 복원할 수 있습니다.')
• ('악성코드 분석에서', '파일 시스템 없이 메모리에 상주한 악성 코드를 볼 때', '프로세스 메모리 덤프·주입 흔적을 플러그인으로 확인합니다.')

주요 기능

프로세스 목록 복원

메모리에서 실행 중이던 프로세스 정보를 추출

• 활용 상황: 침해 시점 프로세스 확인
• 얻는 결과: 정상·비정상 프로세스 목록 확보
• 제한 사항: 스텔스화된 프로세스는 추가 플러그인 필요.

네트워크 연결 복원

열려 있던 소켓·연결 정보를 추출

• 활용 상황: C2 서버 연결 흔적 확인
• 얻는 결과: 외부 통신 대상·포트 목록 확보
• 제한 사항: 단순 메모리 덤프에는 없는 정보는 불가.

DLL/모듈 주입 분석

프로세스에 비정상적으로 매핑된 모듈을 탐지

• 활용 상황: 코드 주입 탐지
• 얻는 결과: 비정상 메모리 영역 식별
• 제한 사항: 난독화된 주입은 해석에 시간이 필요.

플러그인 구조

OS별·목적별 플러그인을 추가·작성 가능

• 활용 상황: 특수 환경 분석 요구
• 얻는 결과: 필요한 증거만 커스텀 추출
• 제한 사항: 심볼(Dwarf·PDB) 제공이 선행되어야 함.

설치 및 실행

Linux (pip)

Python 3.7 이상에서 pip로 설치합니다. 디스크 이미지 처리에는 pycryptodome 등 선택적 의존성이 있습니다.

git clone https://github.com/volatilityfoundation/volatility3.git
cd volatility3
python3 -m pip install -e .

Linux (직접 실행)

git으로 받아 python으로 실행하는 방식도 지원합니다.

python3 vol.py -h
python3 vol.py -f memory.dmp windows.pslist

macOS / Windows

동일하게 Python 환경에서 소스를 받아 실행합니다.

python vol.py -f memory.dmp windows.pslist

실제 사용 예제

프로세스 목록 확인

-f로 메모리 덤프를 지정하고 windows.pslist(또는 linux.pslist) 플러그인을 실행합니다.

$ python3 vol.py -f memory.dmp windows.pslist
PID  PPID  Image            Created
  4     0  System           2026-10-18 01:12:03
912   901  nginx            2026-10-18 01:12:07

네트워크 연결 확인

windows.netscan 플러그인으로 열려 있던 연결과 리스닝 포트를 확인합니다.

$ python3 vol.py -f memory.dmp windows.netscan
Proto Local Address        Remote Address       State    Owner
TCP   0.0.0.0:443          0.0.0.0:0            LISTEN   nginx
TCP   192.0.2.20:51423     198.51.100.7:443     CLOSE_WAIT python3

기억 영역 덤프

프로세스 PID를 지정해 해당 프로세스 메모리를 파일로 덤프해 후속 분석에 씁니다.

$ python3 vol.py -f memory.dmp -p 912 windows.memmap --dump
.dumped.912.dmp 생성 (912번 프로세스 메모리)

장점과 한계

장점

• 무료·오픈소스(GPL) — 상용 포렌식 도구 없이 메모리 분석 가능
• OS별 플러그인 생태계가 풍부(Windows·Linux·macOS)
• Volatility 2 대비 성능·플러그인 정리 완료(현재 표준)
• 스크립트 기반이라 대량 덤프 일괄 분석에 유리

사용 전에 고려할 점

• 분석하려는 OS의 심볼 파일을 확보해야 정확한 결과가 나옵니다.
• 메모리 덤프 확보(라이브 액퀴시션) 과정은 별도 도구가 필요합니다.
• 플러그인·심볼 버전 mismatch 시 오류가 잦아 초기 설정 학습이 필요합니다.

비슷한 프로그램과 비교

공식 자료 및 추가 학습

• 공식 홈페이지 — https://www.volatilityfoundation.org/
• 공식 문서 / 지식베이스 — https://github.com/volatilityfoundation/volatility3/wiki
• 공식 다운로드 — https://github.com/volatilityfoundation/volatility3/releases
• 릴리스 노트 — https://volatilityfoundation.org/volatility-timeline
• 소스 / 개발 자료 — https://github.com/volatilityfoundation/volatility3

버전·지원 환경 정보는 2026-10-18 기준으로 공식 사이트에서 확인한 값입니다. 설치 명령은 사용하는 배포판과 버전에 따라 달라질 수 있으므로 공식 설치 문서를 함께 확인하세요.

실제 실행 화면

아래는 사용 흐름을 이해하기 위해 만든 합성 예시 화면입니다(실제 실행 결과 아님). 화면은 합성 예시이며 실제 실행 결과가 아닙니다.

!Volatility 3 예시: 메모리 덤프에서 프로세스 목록·네트워크 연결 복원

실제 운영 중인 서버

원문(HTML): https://games.cursorai.co.kr/programs/apps/security/volatility.html