L'analisi forense della memoria è lo studio della RAM volatile di un sistema per trovare prove che potrebbero non esistere sul disco. Gli investigatori acquisiscono la memoria da una macchina attiva ed esaminano i processi in esecuzione, i moduli caricati, le connessioni di rete, il codice iniettato, la configurazione decrittografata, la cronologia dei comandi e materiale crittografico come chiavi di sessione o password. Poiché la RAM cambia costantemente, può rivelare cosa stava facendo il malware al momento dell'acquisizione.
Nella sicurezza informatica, l'analisi forense della memoria è importante perché molte intrusioni lasciano solo limitati artefatti su disco. Il malware fileless, l'injection di processi, i loader in memoria e alcuni trojan di accesso remoto possono nascondere il proprio comportamento dopo l'esecuzione. Per i difensori, l'analisi della memoria aiuta a confermare la compromissione, recuperare i comandi dell'attaccante e identificare strumenti che le scansioni antivirus statiche non rilevano. È particolarmente utile contro il malware scritto in Golang e altri binari staticamente collegati, dove il comportamento a runtime può essere più facile da individuare in memoria che su disco. In pratica, l'analisi forense della memoria spesso integra la telemetria degli endpoint, aiutando gli analisti a collegare accessi sospetti ai file, attività di condivisione e esecuzione di comandi live a un attacco reale.