【実務・中級編】メモリフォレンジックにおけるYARAルールの最適化と誤検知削減 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

メモリフォレンジックの深淵：YARAルールを「ノイズの海」で機能させるための最適化術

現場のインシデントレスポンス（IR）で一番絶望するのは、侵害の痕跡を見つけようとメモリダンプを全スキャンした結果、数万件の「誤検知（False Positive）」が吐き出され、本当の脅威がその山の中に埋もれてしまう瞬間だ。

「メモリにはすべてが残る」というのは半分正解だが、半分は間違いだ。メモリは断片化し、ページングされ、再配置される。この混沌とした空間で、我々SOCアナリストはどのようにYARAルールを最適化し、真の攻撃者を炙り出すべきか。今回は、その「泥臭い」現場の知見を共有しよう。

—

1. なぜメモリフォレンジックでYARAが「暴走」するのか

メモリ内のスキャンにおいて、単なる文字列マッチングは自殺行為だ。特にWebシェルやマルウェアのコード片を探す際、メモリ上では以下のような事象が頻発する。

断片化: 攻撃者が注入した悪意あるコードが、ページ境界をまたいで分断されている。
再配置: ロードされるアドレスが毎回変わり、固定オフセットを前提としたシグネチャは無力化される。
ノイズ: ブラウザのキャッシュや、頻繁に生成・破棄される動的オブジェクトが、マルウェアのパターンと類似したバイナリを生成する。

これを防ぐには、単なる strings の羅列ではなく、メモリの構造を意識した「ワイルドカード」と「コンテキスト」の制御が不可欠だ。

—

2. 実践：最適化されたYARAルールの書き方

メモリ特有の「揺らぎ」に対応しつつ、誤検知を最小限に抑えるには、メタデータと条件式の組み合わせが鍵になる。

以下は、メモリ上でよく見られる「難読化されたPHP Webシェル」を特定するための、最適化されたYARAルールの例だ。

rule Suspicious_Webshell_Memory_Pattern {
    meta:
        description = "メモリ上の断片化したWebシェル検出"
        author = "SOC Chief Analyst"
        severity = "High"

    strings:
        // 悪意のある関数群の断片をワイルドカードで繋ぐ
        // 0x?? は任意の1バイトを指す。断片化対策として適度な距離を置く
        $a = { 65 76 61 6c 28 24 5f 50 4f 53 54 [5-20] 27 63 6d 64 27 } 
        // 条件: eval($_POST[...]) というパターンと、その後に続く特定命令の組み合わせ

    condition:
        // ファイルサイズ制限をかけつつ、特定のプロセス名(例: php-fpm)のメモリ空間のみをターゲットにする
        uint16(0) == 0x457f and
        $a and
        filesize < 500MB
}

チューニングのポイント

[5-20] の活用: メモリ上のデータが隣接している保証はない。[5-20] を使って、「5から20バイトの範囲内に次のコード片が存在する」という柔軟な条件を設けることで、断片化による漏れを防ぐ。
ファイルサイズ制限: メモリダンプ全体を対象にすると処理が止まる。filesize フィルタや、スキャン対象のプロセスID（PID）を絞り込む運用を徹底せよ。

—

3. Webアプリ層での「入り口」を閉じる：実務的実装

フォレンジックで攻撃を見つけても、入り口が空いたままでは意味がない。Webシェルをメモリにアップロードさせないための堅牢な設定を紹介する。

Nginxでの悪意あるリクエストの遮断例

Webシェルは多くの場合、アップロード後の実行権限を悪用する。Nginxの設定で、特定のディレクトリでのスクリプト実行を厳格に禁止するのが鉄則だ。

# 特定のアップロード先ディレクトリでのPHP実行を禁止
location /uploads/ {
    # 静的ファイル以外は403を返す
    location ~ \.php$ {
        deny all;
    }
}

Pythonによるメモリ監視（概念実証）

メモリ上の怪しいプロセスを監視するスクリプトの断片を提示する。psutil を使い、メモリ使用量が異常に高いプロセスを検知するアプローチだ。

import psutil

def monitor_memory_threshold(threshold_mb=500):
    """
    メモリ使用量が閾値を超えたプロセスをリストアップする監視スクリプト
    """
    for proc in psutil.process_iter(['pid', 'name', 'memory_info']):
        try:
            mem_usage = proc.info['memory_info'].rss / (1024 * 1024)
            if mem_usage > threshold_mb:
                # 本来はここで自動的にダンプを取る処理を繋ぐ
                print(f"[!] 警告: 異常なメモリ消費 PID:{proc.info['pid']} ({proc.info['name']}) : {mem_usage:.2f}MB")
        except (psutil.NoSuchProcess, psutil.AccessDenied):
            continue

# 運用時はこれをcron等でループさせる

—

4. 最後に：現場のアナリストへ

メモリフォレンジックは、「宝探し」ではない。「ゴミの山からダイヤモンドを探す」作業だ。YARAルールをいくら精巧に作っても、誤検知をゼロにすることはできない。

大事なのは、「何を見つけたか」よりも「何が通常の状態か」を把握することだ。ベースラインとなる正常なメモリダンプを定期的に取得し、差分を比較する習慣をつけよう。それが、最も強力なインシデントレスポンスとなる。

次は、メモリダンプの解析速度を劇的に向上させる Volatility 3 のプラグイン自作術について触れる予定だ。現場のエンジニア諸君、日々磨きをかけておいてくれ。