Forense de memória reconstrói a atividade de um banco MySQL sem depender dos logs
Quando os logs de auditoria em disco não são confiáveis, dá para reconstruir conexões e consultas executadas a partir da memória volátil do processo do MySQL. O trabalho apresenta um algoritmo para isso e mostra que a pilha de consultas tem capacidade finita, o que orienta a frequência de coleta.
Quando os logs de auditoria de um banco de dados podem ter sido adulterados — cenário comum em fraude interna — a memória volátil do processo vira a testemunha mais confiável. O MemTraceDB reconstrói a atividade de usuários do MySQL a partir de instantâneos da RAM do servidor, recuperando conexões e consultas executadas sem depender do que foi gravado em disco.
O achado mais prático do trabalho é empírico: a estrutura interna que guarda consultas no MySQL tem capacidade finita, em torno de 9.997 entradas. Isso transforma a coleta de memória num problema de janela — se o intervalo entre snapshots for maior que o giro dessa pilha, consultas se perdem. O algoritmo ActiviTimeTrace ordena os vestígios no tempo para remontar a sequência de ações.
Para resposta a incidentes com banco de dados no meio, a lição é operacional: capture a memória do processo cedo e, em investigações prolongadas, com frequência calculada. O artigo dá o número que faltava para dimensionar essa frequência no MySQL.