こんにちは！セキュリティの世界へようこそ。インシデントレスポンスやデジタルフォレンジックの世界は、まるで現実世界のミステリー小説のようでワクワクしますよね。でも、最初は専門用語ばかりで「何から手をつければいいの…？」と不安になってしまう方も多いはずです。
大丈夫です、一歩ずつ一緒に学んでいきましょう！今回は、メモリフォレンジックの少しディープな領域である「カーネルコールバックの列挙と不正な監視の特定」について、身近な防犯の仕組みに例えながら優しく紐解いていきます。
—
家の防犯に例えてみる「カーネルコールバック」の正体
皆さんのパソコンの中にあるオペレーティングシステム（OS）、特にWindowsなどの心臓部である「カーネル」は、いわば「家全体を管理する超優秀な執事」のような存在です。
この執事（カーネル）は、家の中で何かが起きるたびに、あらかじめ決められた「連絡網（コールバック）」を使って、各部屋の担当者に知らせる仕組みを持っています。
- 「新しい家族（プロセス）が帰ってきましたよ！」
- 「誰か（スレッド）が新しい部屋に入室しましたよ！」
- 「ドライバー（デバイス）が新しく取り付けられましたよ！」
開発者の皆さんなら、イベントリスナーやフック関数をイメージすると分かりやすいかもしれません。何かが起きたときに「おっと、その前に私に一言教えてね」と登録しておく仕組みのことです。通常、この仕組みはアンチウイルスソフトが怪しい動きを監視するために使われます。
だけど、もし「泥棒」がこの連絡網を悪用したら…？
想像してみてください。もし家に忍び込んだ泥棒が、この執事の連絡網をこっそり書き換えて、自分たちの仲間になってしまったらどうなるでしょう？
泥棒たちは、警察（セキュリティソフト）が家にやってくるたびに、それを事前に察知して隠れることができるようになります。それどころか、他の怪しいやつらが侵入してきたときには「そいつは仲間だから通してやってくれ」と執事に耳打ちするようになるわけです。
サイバー攻撃の世界では、高度なマルウェア（特にルートキットと呼ばれる隠密性の高いもの）が、まさにこの手口を使います。OSの正当な仕組みに寄生し、自分たちの存在を完璧に隠してしまうのです。だからこそ、私たちインシデントレスポンスの現場では、「今、執事の連絡網に誰の名前が登録されているか？」をくまなくチェックする必要があるのです。
—
現場でどうやって調べるの？（メモリフォレンジックの出番）
では、実際に怪しい監視が行われていないか、どうやって調べればよいのでしょうか？
生きたパソコンのメモリ（RAM）をそのままダンプ（ファイルとして保存）し、その中身を解析する「メモリフォレンジック」という技術を使います。
ここで大活躍するのが、オープンソースの強力な解析ツールであるVolatility 3などのツールです。これを使うと、カーネルがこっそり記憶している「誰に連絡するリスト（コールberries）」を一覧で洗い出すことができます。
代表的な監視の仕組み：プロセス生成の通知
Windowsのカーネルには、新しいプロセスが作られたときに通知を受け取るための ObRegisterCallbacks や PsSetCreateProcessNotifyRoutine というAPI（仕組み）が用意されています。
攻撃者はこれらを悪用して、自作の不正なプログラムのありかを隠そうとします。私たちが調査する際は、登録されているコールバック関数の「メモリアドレス」を確認し、それが信頼できる正規のセキュリティソフトの領域にあるものか、それとも「どこからともなく現れた正体不明の怪しいコード（ドライバ）」を指していないかをチェックします。
—
実践：Volatility 3を使った調査アプローチ
実際のインシデントレスポンス現場では、次のような手順で調査を進めます。ここでは、雰囲気をつかむために、よく使われる解析コマンドやスクリプトの概念を見ていきましょう。
1. メモリイメージの取得
まず、怪しいと疑われる端末から物理メモリのコピーを取得します（実務では WinPmem などのツールを使います）。
2. コールバックの列挙（Pythonによるイメージ）
Volatility 3などのフレームワークの内部で、カーネルが保持するコールバックのリストを辿る処理は、次のようなイメージで行われています（※コードは概念をわかりやすくするためのものです）。
# 疑似的なカーネルコールバック列挙のイメージ
import volatility3.plugins as plugins
def list_kernel_callbacks(context, layer_name):
"""
カーネル空間をスキャンし、プロセスやスレッドの生成通知に
登録されているコールバック関数のアドレスを列挙する関数
"""
print("[-] システム内のコールバック関数をスキャンしています...")
# カーネルのシンボル情報からリストの先頭アドレスを取得
# （実際のツールではPspCreateProcessNotifyRoutineなどの配列を走査します）
callback_table = get_callback_pointer_table(context, layer_name)
for entry in callback_table:
# 登録されている関数のメモリアドレス
handler_address = entry.get_handler_address()
# どのドライバ（カーネルモジュール）に属しているかを特定
owner_module = find_owner_driver(handler_address)
print(f"[+] アドレス: {hex(handler_address)} | オーナー: {owner_module.name}")
# もしオーナーモジュールが正規のものでなければ警告！
if not is_trusted_driver(owner_module):
print(f" [!] 警告: 不正または未知のドライバによる監視の可能性があります！")
def get_callback_pointer_table(context, layer_name):
# ダミーのプレースホルダー（実際にはメモリ上の特定構造体をパースします）
return []
def find_owner_driver(address):
# アドレスがどのドライバのメモリ範囲に含まれるか逆引きする
class DriverInfo:
def __init__(self, name):
self.name = name
return DriverInfo("unknown_driver.sys")
def is_trusted_driver(driver):
# ホワイトリスト（Microsoftや既知のセキュリティベンダー）と比較
trusted_vendors = ["ntoskrnl.exe", "fltMgr.sys", "defender.sys"]
return driver.name in trusted_vendors現場のアナリストは、このコードのように「表示されたドライバ名が本当に信頼できるものか？」を一つひとつ突合していきます。もし見覚えのない .sys ファイルがプロセス生成の通知を受け取るように登録されていたら…インシデント発生の赤信号です！
—
新人の皆さんへ：一歩ずつ対策を学んでいきましょう！
メモリフォレンジックを通じて不正なカーネルコールバックを見つけ出す作業は、パズルを解くようでとてもエキサイティングですが、最初は難しく感じるのが当たり前です。
大切なのは、以下の基本スタンスを忘れないことです。
1. 「いつもと違うもの」に気づく目を養う:
普段から正常な状態（ベースライン）のシステムがどうなっているかを知ることが、異常を見つける第一歩です。
2. ツールに頼りすぎず、仕組みを理解する:
今回紹介した「連絡網（コールバック）」のように、OSの根っこがどうやって動いているかを知ることで、攻撃者がどこを狙ってくるのかが手に取るように分かるようになります。
3. 一人で抱え込まず、チームで検証する:
「これって怪しいのかな？」と思ったメモリアドレスがあれば、同僚やシニアアナリストに気軽に相談し、多角的に検証していきましょう。
セキュリティの泥臭い調査の世界へようこそ。これからも一歩ずつ、確実にスキルを磨いていきましょうね！
コメント