【実務・中級編】メモリ上のネットワーク接続情報の抽出 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

メモリの中は「嘘をつかない」：ネットワークフォレンジックで暴くC2通信の正体

現場でインシデント対応をしていると、よく「ログを消されたので手掛かりがない」という絶望的な相談を受ける。だが、エンジニア諸君、覚えておいてほしい。攻撃者がどれほど巧妙にディスク上の痕跡（ログや実行ファイル）を消し去ろうとも、「メモリ」という名の砂場には、必ず足跡が残る。

今日は、メモリフォレンジックの基本であり、かつ最も強力な武器である「ネットワーク接続情報の抽出」について、現場の知見を叩き込む。

—

なぜメモリを見る必要があるのか？

攻撃者が侵入に成功した後、真っ先にやることは「自身の痕跡消去」だ。だが、C2（Command & Control）サーバーと通信を維持するためには、プロセスがメモリ上でネットワーク接続を確立していなければならない。

Volatilityなどのフレームワークで netscan プラグインを叩くと、OSのルーチンが隠そうとする接続情報や、既に終了したはずの接続（ソケット）の残骸が、生々しいデータとして浮き上がってくる。攻撃者は「プロセスの隠蔽」はできても、「物理メモリ上の通信構造体」まで完全にクリーンアップすることは、極めて困難だからだ。

—

攻撃者が狙う「盲点」とリスク

攻撃者は往々にして、正規の管理ツールやOS標準の powershell.exe や w32tm.exe などを悪用する（Living off the Land）。

例えば、PHPの脆弱性（RCE）を突いてバックドアを仕込んだ場合、以下のような挙動をとる。
1. php-fpm のプロセスから外部の怪しいIPへアウトバウンド通信が発生。
2. 特定のポートでリッスン状態を作り、攻撃者の接続を待機。

これを防ぐためには、単に「WAFを入れた」だけでは不十分だ。境界防御をすり抜けた後の「多層防御」をコードとインフラの設定で実装しなければならない。

—

実践：セキュアな設計のための防衛ライン

1. Nginxでの不正通信遮断設定

まずは、Webサーバー自体が外部と不用意に通信しないよう、最小限の権限に絞る。Nginx側で許可されていない接続を弾くことは難しいが、ModSecurity などのWAFモジュールで挙動を監視するのが定石だ。

# Nginx設定: 攻撃者がバックドア経由で特定ドメインへ通信するのを防ぐイメージ
# 出口トラフィックは極力ホワイトリスト化を検討すべき
location / {
    # 不審なHTTPヘッダのブロック例
    if ($http_user_agent ~* (nmap|nikto|sqlmap)) {
        return 403;
    }
}

2. PHPにおける「実行環境の隔離」

PHPでシステムコマンドを実行する関数（exec, system, passthru）は、攻撃者の格好の餌場だ。これらを無効化するだけでなく、open_basedir でファイルアクセス範囲を厳格に制限する。

<?php
// php.ini に設定すべき堅牢化のポイント
// 1. 危険な関数の無効化
// disable_functions = exec,passthru,shell_exec,system,proc_open,popen

// 2. ファイルアクセスの制限 (ディレクトリトラバーサル対策)
// open_basedir = /var/www/html:/tmp

// 万が一侵入された場合でも、外部通信用のプロセスを起動できないようにする
if (ini_get('disable_functions') === '') {
    error_log("警告: 危険な関数が有効です。即座に修正してください。");
}
?>

3. Pythonによる「異常検知」の考え方

メモリフォレンジックを自動化し、常時監視する仕組みを構築する場合、psutil ライブラリを使用して「異常なネットワーク接続」を監視するスクリプトを常駐させる手法がある。

import psutil

def check_suspicious_connections():
    """
    確立された通信のうち、許可されていないポートやIPがないかチェックする
    """
    for conn in psutil.net_connections(kind='inet'):
        # 外部からの接続待ち、または不審なリモートIPへの接続を抽出
        if conn.status == 'ESTABLISHED' and conn.raddr:
            remote_ip = conn.raddr.ip
            # 許可されたホワイトリストIP以外への接続を検知
            if remote_ip not in ["192.168.1.10", "10.0.0.5"]:
                print(f"[!] 異常検知: PID {conn.pid} が不審なIP {remote_ip} と通信中")

# 定期的に実行する監視プロセスへ組み込む

—

現場のアナリストからのアドバイス

メモリフォレンジックは、「宝探し」に近い。netscan で見つかった怪しいIPアドレスを whois で引くだけで終わらせてはいけない。そのプロセスが「いつ」起動し、「誰」が動かしたのか、メモリ上の EPROCESS 構造体を掘り下げていく。

防御側の諸君に伝えたいのは、「ログは改ざんできるが、実行中のメモリは誤魔化せない」という事実だ。アプリケーション開発においては、ライブラリの脆弱性管理（Dependency Check）を徹底し、インフラ構成では「最小権限の原則」を徹底してほしい。

もし、サーバーが重い、あるいは心当たりのない通信が継続的に発生していると感じたら、迷わずメモリダンプを取得し、解析してくれ。そこには、攻撃者が必死に隠そうとした「真実」が必ず刻まれているはずだ。

次は、メモリ上の「プロセスインジェクション」の見抜き方について解説しようと思う。準備はいいか？インシデントは待ってくれないぞ。