【入門編】メモリフォレンジックにおけるアンチフォレンジック技術への対策 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

こんにちは！インシデントレスポンスの世界へようこそ。
セキュリティの現場では、日々「見えない敵」との知恵比べが繰り広げられています。今回は、メモリフォレンジックの世界で少しマニアック、だけど現場では絶対に知っておかなければならない「アンチフォレンジック（フォレンジック隠蔽）技術」についてお話しします。

「なんだか難しそう……」と思いましたか？
大丈夫です！身近な例えを交えながら、一歩ずつ優しく紐解いていきますので、安心してついてきてくださいね。

—

1. 家の鍵と「泥棒の隠蔽工作」：メモリフォレンジックの基本

まずは、私たちが普段やっている「メモリフォレンジック」がどんなものか、イメージしてみましょう。

パソコンのメモリ（RAM）というのは、いわば「今まさに家の中で家族が広げているリビングのテーブル」のようなものです。実行中のプログラムや、開いているファイル、パスワードの断片など、すべての「生きた情報」がここに置かれています。

セキュリティ調査員（私たちDFIRの人間）は、事件（サイバー攻撃）が起きたとき、このリビングのテーブルの様子をそっくりそのまま写真に収めて（これをメモリダンプと言います）、犯人の足跡を探します。

しかし、頭の良い（そしてタチの悪い）サイバー攻撃者は、こう考えます。
*「やばい、警察（セキュリティ担当者）にテーブルの写真を撮られたら、俺たちが使った合鍵や道具がバレてしまうぞ……！」*

そこで彼らが使うのが、「アンチフォレンジック（フォレンジック妨害）」という技術です。
例えば、調査員が写真を撮ろうとした瞬間にテーブルをひっくり返したり、証拠の道具を隠したり、あるいは「そもそも写真を撮れないようにカメラのレンズを真っ黒に塗りつぶす」ような妨害をしてきます。

現場の調査員にとって、この妨害をどうやって突破するかは、まさに腕の見せ所なんです。

—

2. 攻撃者が使う「メモリ隠蔽」の狡猾な手口

では、攻撃者は具体的にどのように私たちの目をくらまそうとするのでしょうか。代表的な手口をいくつか見てみましょう。

手口①：メモリダンプツール自体の無効化

私たちがパソコンのメモリを採取するときは、専用のツール（Volatility向けのダンパーや、各ベンダーのフォレンジックツール）を使います。しかし、ずる賢いマルウェアは、管理者権限を乗っ取った上で「おっと、そのカメラ（ツール）は使わせないよ」とばかりに、ツールの実行を強制終了させたり、カーネル（OSの根幹）レベルでメモリの読み取り要求をブロックしたりします。

手口②：プロセスの「ステルス化」（Direct Kernel Object Manipulation: DKOM）

Windowsのタスクマネージャーを開くと、動いているアプリの一覧が見えますよね。マルウェアは、タスクマネージャーやメモリダンプツールをごまかすために、OSの内部名簿（リスト）から自分の名前をこっそり消してしまいます。
「ここにいるのに、名簿には名前がない」という、まるで幽霊のような状態を作り出すわけです。

—

3. 諦めない！「断片解析」と「ヒューリスティック検知」という反撃の狼煙

「じゃあ、メモリダンプが取れなかったり、きれいに隠されたりしたら、もうお手上げなの？」
いいえ、そんなことはありません。ここからが私たちの本当の仕事、泥臭いフォレンジックの始まりです。

きれいに写真が撮れないなら、「破片（断片）をつなぎ合わせる」か、「異常な気配を察知する（ヒューリスティック）」アプローチをとります。

① メモリの「断片（カービング）」解析

たとえOSの正規の機能やツールがブロックされていても、ストレージや物理メモリのチップに直接アクセスして、生データ（バイナリ）の切れ端を強引に回収する手法があります。
例えば、マルウェアの通信の痕跡や、特定の暗号化鍵のパターン（マジックナンバー）は、メモリ上のあちこちに飛び散っています。これをパズルのピースのように拾い集める技術をメモリカービングと呼びます。

② ヒューリスティック（ふるまい）による異常検知

「名前が消されているなら、おかしな動きをしていないか監視すればいいじゃない！」というのがヒューリスティックなアプローチです。
例えば、普段はそんなことしないシステムプロセスが、突然別のプロセスにメモリを書き込もうとしたり（インジェクション）、不自然なネットワーク通信を行ったりする「ふるまい」を検知します。

ここで、実務の現場でインフラエンジニアやセキュリティ担当者がすぐに応用できる、プロセスやメモリの異常を監視するための簡単なサンプルスクリプト（PowerShell）を見てみましょう。

—

4. 実践：PowerShellを使った不審なプロセスの簡易スニッフィング

以下のスクリプトは、Windows環境において「親プロセスが不自然ではないか」「隠しプロセスや予期せぬ挙動をしていないか」をチェックするためのヒューリスティックな簡易診断コードです。

# =====================================================================
# スクリプト名: Check-SuspiciousProcesses.ps1
# 概要: 実行中のプロセスから、親子関係の不整合や
#       よく使われるマルウェアの隠れ蓑（例: 親のないpowershell等）を検出します。
# =====================================================================

Write-Host "[-] プロセスツリーの異常検知スキャンを開始します..." -ForegroundColor Cyan

# 実行中のすべてのプロセスを取得し、親プロセスのID(PPID)も一緒に確認します
$processes = Get-CimInstance Win32_Process

foreach ($proc in $processes) {
    $processName = $proc.Name
    $processId = $proc.ProcessId
    $parentId = $proc.ParentProcessId

    # 例外処理: パフォーマンス向上のためSystemやIdleプロセスはスキップ
    if ($processId -eq 0 -or $processId -eq 4) { continue }

    # 親プロセスが存在するかチェック（親がすでに死んでいる、または不審な挙動）
    $parentProcess = $processes | Where-Object { $_.ProcessId -eq $parentId }

    # 【検知ロジック例】
    # 通常、Windowsの心臓部である `explorer.exe` や管理者ツールから起動するはずの
    # `cmd.exe` や `powershell.exe` が、親プロセスなし（または不審なパス）で動いている場合
    if (($processName -eq "powershell.exe" -or $processName -eq "cmd.exe") -and ($null -eq $parentProcess)) {
        Write-Host "[!] 警告: 親プロセスのない不審なシェルを検出しました！" -ForegroundColor Red
        Write-Host "    プロセス名: $processName (PID: $processId)" -ForegroundColor Yellow
        Write-Host "    -> 隠蔽工作やスクリプト経由のインジェクションの可能性があります。" -ForegroundColor Gray
    }
}

Write-Host "[+] スキャンが完了しました。" -ForegroundColor Cyan

このように、完璧なメモリダンプが取れなくとも、OSが持つAPIやCIM（Common Information Model）を通じて「おや、このプロセスは親がいないぞ？」といった違和感を拾い集めることが、アンチフォレンジック対策の第一歩になります。

—

5. まとめ：一歩ずつ、確実に対策を積み重ねよう

今回は、メモリフォレンジックにおけるアンチフォレンジック技術と、それに立ち向かうための断片解析・ヒューリスティック検知の考え方について解説しました。

攻撃者はあの手この手で「テーブルの証拠」を隠そうとする（アンチフォレンジック）。
綺麗な証拠が取れなくても、破片を集める（カービング）や、違和感を察知する（ヒューリスティック）ことで対抗できる。
日常的なプロセスの監視や、小さな異常に気づく目を養うことが最大の防御になる。

セキュリティの世界は広く、覚えることもたくさんありますが、「あ、今回はこういう隠し方をしてきたんだな」とパズルを解くような感覚で、一歩ずつ知識を深めていけば大丈夫です。

明日からのインフラ運用や開発の現場で、ぜひこの「違和感に気づく視点」を活かしてみてくださいね。それではまた次回の解説でお会いしましょう！