物理メモリだけでは「半分」も見えていない：ページング・ハイバネーションファイルの罠
現場でインシデント対応をしていると、よく「メモリダンプを採取しました」と意気揚々と報告を受けることがある。だが、私はいつもこう返す。「そのダンプ、ディスクの残骸を拾い上げているか？」と。
現代のOSは、メモリが溢れればページファイル（pagefile.sys）に逃がし、省電力のために休止状態に入ればハイバネーションファイル（hiberfil.sys）へメモリの内容を丸ごと書き出す。攻撃者がメモリ上に残した悪意あるペイロードや、メモリ上で復号された認証情報は、物理RAMの電源が切れた後でも、これらのファイルに「死の刻印」として残り続けるんだ。
これを無視するのは、犯行現場の床に落ちた証拠を無視して、机の上だけを調べて「何もありませんでした」と報告するのと同じだ。
なぜ攻撃者は「スワップ」を狙うのか
攻撃者は、自身のコードが物理メモリからスワップアウトされることを計算に入れている。特にマルウェアのステージ2（本体）や、盗み出した平文のパスワード情報は、メモリ上での滞在時間を短くし、ページファイルへと「避難」させることで、ライブメモリ解析ツールによる検出を回避する手法が一般的だ。
特にWindowsにおいて、hiberfil.sysを解析すれば、システムが休止状態に入った瞬間の「OSの脳」をそのまま取り出せる。そこには、ディスク上では暗号化されて隠されているはずの機密データが、無防備な平文状態で転がっていることが珍しくない。
守りの要：機密データのメモリ残留を最小化する
フォレンジックの観点から言えば、これらのファイルは宝の山だが、セキュリティの観点からは「漏洩リスクの温床」だ。特にWebアプリケーションやバックエンドサービスを運用するエンジニアは、機密情報をメモリ上でどう扱うかを死ぬ気で考える必要がある。
対策1：アプリケーションレベルでの「メモリ汚染」防止
メモリ上に機密情報（APIキーやユーザーの個人情報）を長時間保持しないこと。必要になったらメモリに展開し、使い終わったら即座にゼロ埋め（zeroing）を行うのが鉄則だ。
以下は、Pythonで機密情報を扱う際の基本的な「汚染防止」の例だ。
import ctypes
import os
def secure_handle_sensitive_data(data: bytes):
"""
機密データを処理した後、メモリをゼロ埋めして解放する実装
"""
# データをメモリ上に確保
buffer = ctypes.create_string_buffer(data)
try:
# ここでデータの処理を行う
print(f"処理中: {buffer.value[:5]}...")
finally:
# 【重要】処理が終わったら即座にゼロで上書きする
# これにより、ページファイルに書き出された際も情報が残らない
ctypes.memset(buffer, 0, len(buffer))
print("メモリを安全に消去しました")
# 使用例
secure_handle_sensitive_data(b"SECRET_API_KEY_12345")対策2：OSレベルでのディスク暗号化とページファイル保護
たとえメモリの内容がページファイルに落ちたとしても、ストレージ自体が暗号化されていれば、オフライン解析は防げる。
- BitLocker / LUKSの強制: 物理的な紛失だけでなく、OS上のデータ書き出しを防ぐ唯一の防波堤だ。
- ページファイルのクリア: Windowsであれば、シャットダウン時にページファイルをクリアするグループポリシーを有効にすることで、再起動のたびに痕跡を消去できる。
グループポリシーの設定パス:
コンピュータの構成 > Windowsの設定 > セキュリティの設定 > ローカルポリシー > セキュリティオプション
シャットダウン: 仮想メモリのページファイルをクリアするを有効に設定。
クラウド時代におけるフォレンジックの視点
クラウド（AWS/Azure/GCP）環境では、物理的なメモリダンプは取れないことが多い。代わりに「スナップショット」を活用する。
例えば、EC2インスタンスのディスクスナップショットを作成し、それを解析用インスタンスにアタッチして解析を行う。この際、pagefile.sysやhiberfil.sysを必ず抽出対象に含めること。最近のクラウド環境では、メモリ内容をそのままディスクに書き出す「休止状態」は推奨されない設定が多いが、ページファイルはデフォルトで生成される。ここを解析対象から外すアナリストは、二流だ。
まとめ：現場で勝つための心得
1. 「メモリ」は物理的なRAMだけでない: pagefile.sys, hiberfil.sys, swap領域まで含めて「メモリダンプ」と呼ぶ意識を持つこと。
2. 防御は「消す」ことから始まる: 開発時に扱う機密情報は、メモリのライフサイクルを意識し、スコープを抜ける前に必ずゼロクリアする癖をつける。
3. 証拠の連鎖を断ち切る: 暗号化されていないストレージは、どんなログよりも雄弁に秘密を語ってしまう。ディスク暗号化は必須のインフラルールだ。
次のインシデント対応で、あなたがメモリ解析ツールを叩くとき、この話を思い出してほしい。画面に映る物理メモリの内容だけでなく、その背後に横たわるディスク上の「過去の残滓」を見抜くことが、攻撃者を追い詰める唯一の道だ。
コメント