こんにちは！セキュリティチームで日々、泥臭いインシデントの調査やフォレンジックを行っているアナリストです。
「インシデントが発生した！」となったとき、現場のエンジニアが真っ先に思い浮かべるのは、パソコンの電源を切らずにその場で物理メモリ（RAM）を丸ごと抜き取る作業ですよね。電源を切ってしまうと、メモリ上にあった怪しいプログラムやパスワードなどの証拠が綺麗に消えてしまうからです。
でも、ちょっと待ってください。
「あ、もう電源を切っちゃった！」あるいは「数日前に仕込まれた証拠を探したい…」そんな絶望的な状況に直面したことはありませんか？
実は、物理メモリの電源が落ちていても、パソコンのハードディスクやSSDの中には、メモリの秘密がそっくりそのまま保存されている場所があるんです。それが今回お話しする「ページングファイル」と「ハイバネーション（休止状態）ファイル」です。
今回は、セキュリティに初めて触れる開発者やインフラ担当者の方向けに、身近な例えを交えながら、この「隠されたメモリ」を暴くフォレンジック技術の世界へご案内しますね！
—
家の鍵と「机の引き出し」に例えるメモリの世界
まずは、パソコンの中でメモリがどう扱われているのか、イメージしやすくするために身近なもので例えてみましょう。
パソコンの物理メモリ（RAM）は、いわば「作業用の机の広さ」です。机が広ければ広いほど、たくさんの書類（アプリ）を同時に広げてテキパキ仕事ができますよね。でも、この机には大きな弱点があります。それは、「夜になって部屋の電気（電源）をパチンと消すと、机の上にあった書類がすべてシュレッダーにかけられて消えてしまう」ということです。これが揮発性メモリの性質ですね。
では、机の上に置ききれなくなった書類や、ちょっと席を外すときにどうするでしょうか？
1. ページングファイル (pagefile.sys)
机の上の書類が増えすぎて手狭になったとき、一時的に「段ボール箱」に書類を詰めて足元に置いておく、そんなイメージです。Windowsはメモリが足りなくなると、使っていないデータをハードディスクの片隅（C:\pagefile.sys）にこっそり追い出します。これがページングファイルです。
2. ハイバネーションファイル (hiberfil.sys)
仕事の途中で「今日の作業はここまで！」と、パソコンを休止状態にするときですね。これは、「その日の机の上の状態を写真にパシャリと収めて、そのまま引き出しの奥にしまい込む」ようなものです。現在のメモリの状態を丸ごとハードディスク（C:\hiberfil.sys）に保存し、電源を完全に落とします。
攻撃者（ハッカー）は、この「段ボール箱」や「引き出しの奥」に、こっそりパスワードや暗号鍵、怪しい通信の痕跡を残していくことがよくあります。だからこそ、私たちは電源が切られた後でも、このファイルを探し出して解析する必要があるのです。
—
ページングファイルとハイバネーションファイルの正体
もう少し技術的なお話を少しだけ分かりやすく噛み砕いてみましょう。これらのファイルには、それぞれ特徴があります。
ページングファイル（pagefile.sys）の裏側
Windowsが自動で管理している仮想メモリの領域です。普段は隠しファイルになっているので、エクスプローラーの設定を変えないと見えません。
ここには、過去にメモリ上に展開されたプロセスの断片がゴロゴロ転がっています。攻撃者が一時的に実行したマルウェアのコードの残骸や、ブラウザに入力した機密情報が、シャットダウン後も残存しているケースが多々あります。
ハイバネーションファイル（hiberfil.sys）の強力さ
ノートPCなどでよく使われる「休止状態」機能で生成されるファイルです。これは物理メモリの容量とほぼ同じサイズ、あるいはそれ以上の巨大なファイルになります。
なぜフォレンジックでこれが重宝されるかと言うと、「電源が落ちる瞬間、あるいは休止状態に入る瞬間のメモリのスナップショットが丸ごと保存されているから」です。つまり、実質的に「電源を切る直前の物理メモリダンプ」がハードディスクに残っているのと同じ意味を持ちます。これを使わない手はありませんよね。
—
実践：Volatility 3を使った解析へのアプローチ
では、実際に現場でこれらのファイルからメモリ情報をどうやって引き出すのか、その基本的なアプローチを覗いてみましょう。
インシデントレスポンスの現場では、オープンソースの強力なメモリフォレンジックフレームワークである Volatility 3 がよく使われます。
通常、Volatilityは物理メモリのダンプ（.raw や .dmp）を対象にします。しかし、ハイバネーションファイル（hiberfil.sys）やページングファイル単体、あるいはディスクのイメージから抽出したファイルに対しても、適切な手順を踏むことで解析が可能になります。
1. ハイバネーションファイルの変換
WindowsのハイバネーションファイルはそのままではVolatilityが直接読めない形式（圧縮やメタデータが含まれている）になっていることがあります。そのため、オープンソースのツール等を使って標準的なメモリダンプ形式に変換する作業を行います。
例えば、Linux環境などで volatility3 を使い、プロセス一覧を確認する基本的なコマンドのイメージは以下のようになります。
# ボラティリティ3を使って、変換済みのメモリイメージから実行中のプロセス一覧を抽出するコマンド例
# 実際のインシデント調査では、最初にプロセスの不審な動き（名前やパス）を確認します
python3 vol.py -f extracted_memory.dmp windows.pslist2. ページングファイルのカービング（切り出し）
ページングファイル（pagefile.sys）単体からは、windows.pslist のような連続したプロセス構造を綺麗に復元することは難しい場合が多いです。しかし、特定のキーワードや、ネットワーク接続の痕跡、暗号化の鍵などを探し出す「カービング（Carving）」という技術を使って、ファイルの中からめぼしいデータのかけらをサルベージします。
例えば、Pythonスクリプトや専用のツールを用いて、ページングファイル内から特定のパターン（IPアドレスや怪しい文字列）を検索するアプローチが取られます。
# 【参考】ページングファイル等のバイナリから特定の文字列やキーワードを簡易的に検索するPythonスクリプトの例
# 実務では、grepや専用のフォレンジックツール（Bulk_extractor等）を組み合わせて効率的に探します
def search_keyword_in_pagefile(file_path, keyword):
"""
指定されたページングファイルからキーワードをバイト単位で検索し、
ヒットした周辺のデータ（オフセット）を表示するヘルパー関数です。
"""
target_keyword = keyword.encode('utf-8')
print(f"[-] 調査対象ファイル: {file_path} から '{keyword}' を検索中...")
try:
with open(file_path, 'rb') as f:
chunk_size = 1024 * 1024 # 1MBずつ読み込んでメモリ圧迫を防ぐ
offset = 0
while True:
chunk = f.read(chunk_size)
if not chunk:
break
# キーワードがチャンク内に含まれているかチェック
if target_keyword in chunk:
local_offset = chunk.find(target_keyword)
absolute_offset = offset + local_offset
print(f"[!] 発見！ オフセット位置: 0x{absolute_offset:X}")
offset += len(chunk)
except FileNotFoundError:
print(f"[X] エラー: ファイルが見つかりません -> {file_path}")
# 使用例（実務ではパスを適切に変更してください）
# search_keyword_in_pagefile("C:\\pagefile.sys", "password")—
現場の視点：なぜこの知識がエンジニアに必要なのか？
「開発者やインフラ担当の自分が、なんでこんな奥深いメモリの話を知っておかないといけないの？」と思われるかもしれません。
理由はシンプルです。「攻撃者は私たちの想像を超える隠蔽工作を行うから」です。
マルウェアに感染した端末を発見したとき、慌てて電源を切ってしまう現場に何度も立ち会いました。「電源を切れば安全になった」と安心しがちですが、ディスクに書き込まれた pagefile.sys や hiberfil.sys をそのまま放置してリプレイスしてしまったり、フォレンジックのチャンスを自ら捨ててしまったりするケースが後を絶ちません。
攻撃者が残した「引き出しの奥の証拠」を回収できるかどうかが、インシデントの全貌（どこから侵入され、何を盗まれたのか）を解き明かすカギになります。
—
一歩ずつ対策を学んでいきましょう！
最初は「ハイバネーションファイル？なんだか難しそう…」と感じたかもしれませんが、基本のコンセプトは「机の上の状態を一時的にしまい込む引き出し」と同じです。
インシデントレスポンスの世界は、知れば知るほど奥が深く、まるで謎解きのような面白さがあります。すべてを一度に完璧に理解する必要はありません。「電源を切ってもディスクの裏に証拠が眠っているんだな」という引き出しを、頭の中に一つ作っておくだけで、万が一のときの初動対応がガラリと変わります。
一歩ずつ、確実に知識をアップデートしていきましょう！次回の解説もお楽しみに！
コメント