皆さん、こんにちは！セキュリティやインフラの世界に飛び込んだばかりの頃は、専門用語の嵐に圧倒されてしまいますよね。「メモリフォレンジック」「ページテーブル」「物理アドレス変換」……なんだか呪文のように聞こえるかもしれませんが、大丈夫です。一歩ずつ、身近な例えから紐解いていけば、必ず「なるほど！」と腑に落ちる瞬間がやってきます。
今日は、私たちが普段使っているコンピューターの頭脳（メモリ）の奥底で、サイバー攻撃者がどのように隠れ、そして私たちDFIR（デジタルフォレンジック・インシデントレスポンス）の現場の人間がどうやってそれを見つけ出すのか、その泥臭くてエキサイティングな裏側を覗いていきたいと思います。
—
1. 家の鍵と住所録に例える「仮想メモリ」と「ページテーブル」
まずは、コンピューターのメモリの仕組みを、私たちの生活に置き換えて考えてみましょう。
パソコンの中では、動いているたくさんのアプリ（ブラウザやゲーム、裏で動くウイルスなど）が、それぞれ「自分専用の大きくて綺麗な部屋（メモリ空間）」を持っていると錯覚しています。これを仮想メモリと呼びます。
しかし、実際のパソコンの部品である実物のメモリ（物理メモリ）は限られています。そこで登場するのが、ページテーブル（Page Table）という「住所録」です。
- 仮想アドレス： アプリが「私の部屋のクローゼットは3番地よ」と思っている、見かけ上の場所。
- 物理アドレス： パソコンのメモリチップのどこに実際にあるかという、本当の場所。
- ページテーブル： 「3番地」と言われたときに、「はいはい、それは本当のメモリの『5005番地』ですね」と変換してあげるための管理人さんの住所録です。
攻撃者はどこを狙うのか？
もし、あなたが泥棒（サイバー攻撃者）だったらどうしますか？ 警察（セキュリティソフト）に見つからないように、自分の隠れ家を隠したいですよね。
巧妙なマルウェアは、この「住所録（ページテーブル）」をこっそり書き換えてしまいます。
本当は怪しいウイルスプログラムが住んでいる物理メモリの場所を、住所録の上では「ここは安全な空白地帯ですよ」と偽装するのです。これが、メモリフォレンジックの世界で私たちが日々追いかけているページテーブルの改ざんや不正なメモリマッピングという手口です。
—
2. 現場のプロはどうやって偽装を見破るのか？
では、攻撃者が住所録を書き換えて隠れているとき、私たちインシデントレスポンスのプロはどうやってそれを見つけ出すのでしょうか？
OSが持つ「きれいな住所録」だけを見ていると、攻撃者に騙されてしまいます。だからこそ私たちは、メモリ全体のコピー（メモリイメージ）を安全に採取し、CPUのハードウェアが直接読んでいる生データのページテーブルを直接のぞき見します。
ここで重要になるのが、アドレス変換の仕組みをコードで理解することです。現代のOS（WindowsやLinux）の多くは、4段階のページング構造（PML4 -> PDPT -> PD -> PT）を使っています。
新人の開発者やインフラ担当者の皆さんが、この仕組みをプログラムや解析スクリプトで直感的に理解できるように、簡単な概念コードを見てみましょう。Pythonを使って、仮想アドレスから物理アドレスへの変換（の雰囲気）をシミュレーションしてみます。
# 仮想アドレスから物理アドレスへの変換プロセスを模したサンプルコード
# ※実際のOSカーネル内部の処理を、学習用に極力シンプルに表現しています。
def translate_virtual_to_physical(virtual_address, cr3_register):
"""
CR3レジスタ（ページテーブルのスタート地点を指すポインタ）と
仮想アドレスを受け取り、物理アドレスを割り出す擬似関数です。
"""
print(f"[*] 調査開始: 仮想アドレス {hex(virtual_address)} を解析します...")
# 1. 仮想アドレスから各テーブルのインデックスを抽出するビット演算
# 実際には、アドレスを52bitや48bitに分解して、各階層のオフセットを計算します。
pml4_index = (virtual_address >> 39) & 0x1FF
pdpt_index = (virtual_address >> 30) & 0x1FF
pd_index = (virtual_address >> 21) & 0x1FF
pt_index = (virtual_address >> 12) & 0x1FF
offset = virtual_address & 0xFFF
print(f" -> PML4 インデックス: {pml4_index}")
print(f" -> PDPT インデックス: {pdpt_index}")
print(f" -> PD インデックス: {pd_index}")
print(f" -> PT インデックス: {pt_index}")
print(f" -> ページ内オフセット: {hex(offset)}")
# 2. 住所録（ページテーブル）のベースアドレスをCR3から取得
# 攻撃者はこのプロセスの途中のポインタを書き換えることがあります。
base_table_address = cr3_register & 0xFFFFFFFFFFFFF000
print(f"[*] ベースとなるページテーブルの物理アドレス (CR3): {hex(base_table_address)}")
# 【チェックポイント】
# もしここで、指し示されている物理メモリの領域が、
# カーネルの管理外であったり、不審なフラグ（例: 実行不可であるべき領域での実行許可など）が
# 立っていた場合、それは「不正なメモリマッピング」の強い兆候です。
# 擬似的な物理アドレスの算出（実際にはメモリ読み込みとポインタ追跡の連続です）
fake_or_real_physical_address = base_table_address + (pt_index * 8) + offset
return fake_or_real_physical_address
# --- 実行テスト ---
# サンプルとして適当な仮想アドレスとCR3の値を与えてみます
sample_cr3 = 0x1000f000
sample_vaddr = 0x7FFF5FB00010
resolved_paddr = translate_virtual_to_physical(sample_vaddr, sample_cr3)
print(f"[+] 導出された物理アドレス: {hex(resolved_paddr)}\n")このように、コードや数学的なビット演算を通じて「OSが見ている世界」と「実際のハードウェアが見ている世界」のズレを暴いていくのが、メモリフォレンジックの醍醐味です。
—
3. 実務や開発で活かせる防御の視点
「でも、これって高度なフォレンジック専門家の話でしょ？ 私たちはアプリケーション開発やインフラ構築がメインだし……」と思うかもしれませんが、そんなことはありません。この低レイヤーの知識があるからこそ、日々のセキュリティ対策に深みが出ます。
1. メモリ安全性の高い言語やコンパイラの活用
C言語などでバッファオーバーフローなどの脆弱性を放置すると、攻撃者にメモリ上のアドレス書き換え（ひいてはページテーブルの操作やカーネル空間への不正アクセス）の足がかりを与えてしまいます。Rustなどのメモリ安全な言語の採用や、コンパイラオプション（ASLRやDEP/NXなど）をしっかりと有効にすることが、こうした低レイヤー攻撃を防ぐ最初の防壁になります。
2. EDR（Endpoint Detection and Response）の導入と理解
市販されているモダンなEDR製品は、まさに今回お話ししたような「ページテーブルの不審な書き換え」や「プロセス間インジェクション（別プロセスのメモリ空間を勝手に書き換える手法）」をリアルタイムで監視しています。「EDRがアラートを出したけれど、これってどのメモリ領域の挙動なのだろう？」と思ったときに、今日の知識があればログの意味を深く読み解くことができます。
—
まとめ
今回は、メモリフォレンジックにおけるページテーブル解析と物理アドレス変換について、少しディープな世界を分かりやすくお伝えしました。
最初は難しく感じる低レイヤーの仕組みも、「サイバー世界の防犯と住所録の偽装」という視点を持つと、ぐっと身近に感じられたのではないでしょうか。インシデントはいつ、どんなシステムの足元からも発生する可能性があります。ですが、こうした基礎的なメカニズムを知っているかどうかが、いざという時の冷静な判断と迅速な対応を支えてくれます。
焦らず、一歩ずつ、一緒にセキュリティの引き出しを増やしていきましょう！
コメント