パスワードは「脳内」で盗まれる？メモリフォレンジックで紐解くMimikatzの正体
こんにちは！セキュリティの現場で日々、サイバー攻撃の痕跡を追いかけているSOCアナリストです。
今日は、多くのITエンジニアが一度は耳にする「Mimikatz（ミミカッツ）」という悪名高いツールについて、そしてそれがどのように皆さんのPCからパスワードを盗み出しているのかを、現場の視点から紐解いていきたいと思います。
「セキュリティなんて難しそう…」と思うかもしれませんが、大丈夫です。家の中の防犯に例えながら、一緒に一歩ずつ学んでいきましょう！
—
1. 泥棒はどこで「鍵」を探しているのか？
皆さんのPCが家だとすると、Windowsが裏側で動かしている lsass.exe というプログラムは、まさに「鍵の保管庫」です。
皆さんがログインする際、パスワードや認証用のチケットは暗号化されてメモリ（PCの作業机のような場所）の中に置かれます。lsass.exe は、それらを管理して「この人は正しいユーザーですよ」と証明する役割を担っています。
攻撃者にとって、この lsass.exe は「宝の山」です。ここを覗き見ることができれば、暗号化されたデータから生のパスワードや、ログイン済みの権利（認証トークン）を簡単に盗めてしまうからです。これが「Mimikatz」というツールの正体です。
—
2. メモリの中を覗く「メモリフォレンジック」
攻撃者が lsass.exe に手を伸ばしたとき、メモリ上には必ず「足跡」が残ります。この足跡を見つけ出し、何が起きたのかを突き止めるのが「メモリフォレンジック」です。
現場でよく使うツールに Volatility というものがあります。これは、PCのメモリをまるごとコピーしたファイル（メモリダンプ）から、怪しい動きを解析する強力な武器です。
現場で使う解析の第一歩
例えば、メモリダンプファイルから lsass.exe に不審なアクセスがあったかを確認する際、以下のようなコマンドをイメージしてみてください（実際には専門的な環境で実行します）。
# Volatilityを使ってlsass.exeのプロセス情報を確認する例
# -f: 解析対象のメモリダンプファイル
# --profile: Windowsのバージョンを指定
# pslist: 実行中のプロセス一覧を表示するプラグイン
vol.py -f memory_dump.raw --profile=Win10x64_19041 pslist | grep lsassもし、lsass.exe が不自然なプロセスから呼び出されていたり、メモリ空間に「読み込み・書き込み・実行」という危険な権限設定（PAGE_EXECUTE_READWRITE）がなされていたら…それはもう、侵入者がそこに居座っているサインです。
—
3. なぜ「パスワード」が盗まれるのか？
Mimikatzは、この lsass.exe のメモリ領域に対して「メモリを読み取らせてくれ」と頼み込みます。通常は拒否されるはずですが、攻撃者は管理者権限を悪用して、この壁を無理やり突破します。
対策として最も重要なのは、「管理者権限を簡単に渡さないこと」です。
私たちができる防御の基本
1. 最小権限の原則: 普段の作業には一般ユーザー権限を使い、管理者権限は必要な時だけ使う。
2. Credential Guardの有効化: 最近のWindowsには、lsass.exe を特殊な「仮想化された隔離領域」で守る仕組みがあります。これを有効にするだけで、パスワードをメモリから抜き取るハードルが劇的に上がります。
—
4. 現場のアナリストからのアドバイス
「メモリを解析するなんて難しそう…」と感じたあなたへ。まずは、自分の環境で「誰が何をしているか」をログとして記録する癖をつけることから始めてください。
もし、夜中の3時に管理者権限で lsass.exe にアクセスしているプロセスを見つけたら、それはもうインシデント（事件）の始まりです。
今日からできること
- ログを監視する:
Windowsイベントログの「プロセス作成」イベント（ID: 4688）をチェックしましょう。mimikatz.exeそのものを実行していなくても、PowerShellで怪しいメモリ操作を行っている痕跡は見つかるはずです。 - 定期的なパッチ適用: 攻撃者は、古いシステムの脆弱性を突いて管理者権限を奪います。Windows Updateは単なるアップデートではなく、鍵を頑丈にするための「錠前の交換」だと思ってください。
—
まとめ
メモリフォレンジックは「PCの記憶を掘り起こす作業」です。一度侵入されると、攻撃者は皆さんのアカウントになりすまして、社内のどこへでも移動できてしまいます。
「自分は大丈夫」と思わず、まずは「もし自分のPCのメモリが盗まれたら、どこに痕跡が残るだろう？」と想像してみてください。その好奇心こそが、最強のセキュリティ対策への第一歩になります。
また次回の記事では、実際にログを読み解く「泥臭い」現場の手順を詳しく解説しますね。それでは、安全なデジタルの旅を！
コメント