メモリフォレンジック とは？

RAMの内容を取得したメモリダンプなどを解析し、プロセスや接続、マルウェアの痕跡を調べるデジタルフォレンジックの手法。取得時点やOS、解析条件によって見つかる情報は異なる。

ひよこ

メモリって調べられるの？電源を切ったら消えるんじゃない？

ペンギン先生

RAMの内容をファイルへ取得して解析できるよ。再起動や電源断で揮発性の情報を失うので、保存の要否を早く判断する。ただし、取得操作自体も状態を変える。何が重要な証拠か、取得のリスクはどうかを考えて対応するんだ

ひよこ

メモリを調べると何が分かるの？

ペンギン先生

プロセス一覧や接続の情報、不審なコードなどが見つかることがあるよ。パスワード関連の情報が残っている場合もある。ただし、取得時に残っている内容や解析方法によるので、あらゆる情報を必ず取り出せるわけではないんだ

ひよこ

ファイルレスマルウェアはウイルス対策ソフトで見つからないの？

ペンギン先生

対策製品にもメモリの検査や振る舞いの監視をするものがあるよ。ファイルレスという言葉も、攻撃の一部でファイルを使う場合を含む。メモリの解析は調査の手段の一つで、ディスクやログの調査も組み合わせるんだ

ひよこ

どんなツールを使うの？

ペンギン先生

例えばVolatility 3は、取得済みのメモリダンプを解析するOSSだよ。メモリを取得するツールとは役割が違う。対象OSと使う解析機能に合った情報が必要で、シンボルと呼ぶ内部構造の情報が合わないと解析できない場合があるんだ

ひよこ

何も見つからなければ、感染していないと考えていい？

ペンギン先生

それだけでは判断できないよ。取得する前に情報が失われたり、使った解析機能では拾えなかったりする。解析条件を確認し、ほかの記録と突き合わせよう。痕跡が見つかっても、それだけで攻撃者の身元まで特定できるわけではないんだ

まとめ：ざっくりこれだけ覚えればOK！

「メモリフォレンジック」って出てきたら「RAMの内容から調査の手掛かりを探す手法」と思えばだいたいOK！

誤り・わかりにくい説明を報告する