皆さん、こんにちは！日々、システムの守り神として奮闘しているIT担当者の皆さん、そして「セキュリティって難しそうだけど、何から手をつければいいの？」と感じている開発者の皆さん。ようこそ、デジタルフォレンジックの世界へ。
私はこれまで、数多くのサイバー攻撃の現場で「犯人の足跡」を追い続けてきました。現場はいつも混沌としています。攻撃者は巧妙に証拠を消そうとしますが、実は「コンピュータの脳みそ（メモリ）」の中には、彼らが隠しきれなかった「悪事の記憶」が鮮明に残っていることが多々あります。
今回は、そんなメモリフォレンジックの中でも、最も地味で、かつ最も重要な「証拠のバトン（Chain of Custody：証拠保全の連鎖）」について、お話ししようと思います。「法廷で勝てる証拠」をどう守るか、お家の防犯に例えて優しく紐解いていきましょう！
—
1. メモリフォレンジックは「消えゆく目撃者」の証言
コンピュータのメモリ（RAM）は、電源を切ると中身が消えてしまう「揮発性」という性質を持っています。
例えるなら、「泥棒が部屋を物色している最中の、散らかった空気感」のようなものです。泥棒が触ったドアノブの角度、脱ぎ捨てられた手袋、開けっ放しの引き出し……。これらは、泥棒が立ち去り、部屋を片付けて（再起動して）しまうと、二度と復元できません。
メモリフォレンジックとは、この「消えゆく瞬間」をパシャリと写真に収める作業です。しかし、ただ写真を撮ればいいわけではありません。
2. なぜ「証拠のバトン」が必要なの？
せっかく犯人の証拠を掴んでも、裁判官に「これ、あなたが後で書き換えたんじゃないですか？」と疑われたらおしまいです。これが法的証拠能力（Chain of Custody）の壁です。
お家の防犯で考えてみましょう。
1. 泥棒の足跡を見つけた！（証拠発見）
2. 警察が来る前に、自分で勝手に足跡を石膏で固めた。
3. その石膏を、自分のカバンに入れて持ち歩いた。
4. 数日後、警察に「これ、あいつの足跡です！」と渡した。
……これでは、警察も裁判所も信じてくれませんよね。「カバンに入れている間に、自分で形を変えたかもしれないでしょ？」と言われてしまいます。
デジタルフォレンジックでも同じです。「いつ、誰が、どんな道具で取得し、その後誰の手に渡り、改ざんされていないか」を完璧に証明し続けなければなりません。これが「証拠のバトン（Chain of Custody）」をつなぐということです。
—
3. 証拠を守る「3つの黄金ルール」
新人の皆さんが現場でインシデントに直面したとき、この3つだけは絶対に忘れないでください。
① 「現場（メモリ）」を荒らさない
攻撃を見つけると、慌てて「ウイルススキャンを実行！」としたくなりますよね。でも、ちょっと待ってください。スキャンソフトを動かすだけで、メモリの中身は書き換わってしまいます。
「まずは落ち着いて、今の状態をそのまま保存する」。これが鉄則です。
② 「指紋（ハッシュ値）」を即座に取る
メモリをファイルとして保存（ダンプ）したら、すぐにそのファイルの「指紋」を取ります。これを「ハッシュ計算」と呼びます。
ファイルが1文字でも変わればハッシュ値は劇的に変わるため、「取得した瞬間と、解析を始めた瞬間で値が同じ＝改ざんされていない」という証明になります。
③ 「捜査日誌（ドキュメント）」を1分単位で書く
「14:05、〇〇がXXというツールを使ってダンプを開始した」といった記録を、泥臭く残します。
—
4. 実践！証拠保全のステップ
では、具体的にどう動くべきか、現場で使えるコマンドの例を交えて見ていきましょう。
手順1：メモリダンプの取得
専用のツール（DumpItやMagnet RAM Captureなど）を使って、メモリの内容をファイル（.rawや.mem）に書き出します。
手順2：デジタル指紋（ハッシュ値）の生成
ファイルを作成した直後に、以下のPowerShellコマンドなどでハッシュ値を取得します。これは「この証拠品は、今この瞬間から1ミリも変わっていません」という封印シールを貼るような作業です。
# メモリダンプファイル（memory.dmp）のハッシュ値（SHA-256）を計算します
# これが「デジタル指紋」になり、後で改ざんされていない証拠になります。
Get-FileHash -Path .\memory.dmp -Algorithm SHA256 > hash_report.txt
# 生成されたハッシュ値を確認（例）
# Algorithm Hash
# --------- ----
# SHA256 5E884898DA28047151D0E56F8DC6292773603D0D6AABBDD62A11EF721D1542D8手順3：証拠保全ログの作成
以下のような情報を、紙や変更不可能な形式のファイルに記録します。
## インシデント調査報告：証拠保全記録
- **取得日時:** 2023年10月27日 14時30分 (JST)
- **対象機器:** 営業部PC-01 (ホスト名: SALES-PC01)
- **取得者:** セキュリティ担当 鈴木
- **使用ツール:** Magnet RAM Capture v1.20
- **保存先メディア:** 調査用USBメモリ (シリアル番号: ABC-12345)
- **ハッシュ値 (SHA-256):** 5E884898DA28... (上記コマンドの結果を貼り付け)
- **備考:** 取得中、ネットワークケーブルは抜線済み。—
5. 攻撃者が狙う「盲点」：メモリの中にしかいない悪魔
なぜここまでしてメモリを守る必要があるのでしょうか？
最近の賢い泥棒（攻撃者）は、「ファイルレス攻撃」という手法を使います。
通常、泥棒は「バール（不正な実行ファイル）」を家に持ち込みますが、ファイルレス攻撃は「家にある道具（標準コマンドやPowerShell）」を操って攻撃します。これだと、玄関（ディスク）を調べても「バール」は見つかりません。
しかし、操られている最中の「不自然な動き」は、メモリの中にだけ残ります。
powershell.exeが、なぜか海外の怪しいサーバーと通信している形跡- メモリの隅っこに隠された、暗号化を解くための「鍵」
これらは、メモリフォレンジックでしか見つけることができません。だからこそ、その証拠を「汚さずに」取り出すことが、犯人逮捕（あるいは原因究明）の決定打になるのです。
—
最後に：一歩ずつ対策を学んでいきましょう！
メモリフォレンジックと聞くと、SF映画のような高度な技術を想像するかもしれません。でも、その根底にあるのは「証拠を大切に扱い、誰が見ても納得できるように記録する」という、とても人間味のある丁寧な仕事です。
もし皆さんの目の前で怪しい挙動が起きたら、まずは「電源を切らず、LANケーブルを抜き、記録を始める」。これだけでも、立派なインシデントレスポンスの第一歩です。
「難しそうだな」と思ったら、いつでもこの「お家の防犯」を思い出してください。大切な資産を守るために、一つずつ、確実なバトンをつないでいきましょうね！
—
執筆者メモ:
デジタルフォレンジックは技術力もさることながら、最後は「誠実な記録」がモノを言います。ツールに頼り切らず、なぜその作業が必要なのかという「心」の部分を大切にしていきましょう。次回の記事では、実際にメモリの中身をのぞき見する「解析編」でお会いしましょう！
コメント