カーネルの深淵を覗く：不正ドライバの検知と「署名検証」の現実解
現場でインシデント対応をしていると、よく「巧妙な攻撃者がバックドアを仕掛けた」という話を聞く。だが、彼らが最終的に行き着くのは、OSの心臓部であるカーネル領域だ。特にWindows環境では、カーネルモードで動作する悪意あるドライバ（Rootkit）がロードされると、検知は極めて困難になる。アンチウイルスソフトが「見えなくなる」からだ。
今日は、メモリフォレンジックの観点から、いかにしてメモリ上に潜む不正なカーネルドライバを炙り出すか、そしてその被害を未然に防ぐための「実務的な防御策」について、現場の知見を共有しよう。
—
なぜ攻撃者は「カーネルドライバ」を狙うのか？
ユーザーモードのマルウェアは、EDRやプロセスの監視ですぐに検知される。しかし、カーネルドライバとしてロードされたコードは、OSの最上位権限で実行される。ネットワークスタックをフックし、通信を隠蔽し、ディスク上のファイルを改ざんする……やりたい放題だ。
特に、正規の署名を悪用する「Bring Your Own Vulnerable Driver (BYOVD)」攻撃は非常に厄介だ。古い（かつ脆弱な）正規のドライバをあえてロードし、そのドライバの脆弱性を突いてカーネルメモリを書き換えるという手法は、今の攻撃のトレンドと言っていい。
メモリ上のドライバ署名を検証する（フォレンジックの視点）
現場でメモリダンプから怪しいドライバを特定する際、我々は Volatility Framework を多用する。特に modules や driverscan プラグインを使うのだが、単にロードされているリストを見るだけでは不十分だ。
重要なのは、「メモリ上に展開されたコードのハッシュ値」と「署名情報」の不一致をどう見抜くかだ。
1. 異常なドライバパスの確認: \SystemRoot\System32\drivers\ 以外の場所からロードされているドライバは、まず間違いなく疑うべきだ。
2. 署名検証の失敗: メモリ上のバイナリを抽出し、sigcheck 等で署名を確認する。デジタル署名が剥がれている、あるいは無効な証明書で署名されているものは即刻排除対象となる。
—
防御の最前線：Windowsカーネルを守るための設定
フォレンジックで事後対応する前に、まずは「侵入させない」ことが肝要だ。現代のインフラ構築において、以下の設定はもはや「推奨」ではなく「必須」である。
1. 「カーネルモードコード署名（KMCS）」の厳格化
Windowsでは、デフォルトで署名のないドライバのロードはブロックされるが、これだけでは不十分だ。グループポリシー（GPO）またはレジストリで、より厳格なポリシーを適用する。
設定項目例（レジストリ）:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CI\Config にて、コード整合性（Code Integrity）のポリシーを強制する。
2. 「HVCI（ハイパーバイザーで保護されたコード整合性）」の有効化
これが現在最強の防御策だ。HVCIを有効にすると、ハイパーバイザーがカーネルメモリの改ざんをチェックし、署名のないコードの実行を物理的に防ぐ。
—
実践：防御的なコード検証と設定の自動化
インフラエンジニアとしては、単に設定するだけでなく「検証」を自動化したいところだ。以下は、PowerShellを使って「署名されていないドライバがロードされていないか」を定期的にチェックし、ログを収集するスクリプトの断片である。
# Get-SignedDriverCheck.ps1
# 署名が無効なドライバを抽出するスクリプトの基礎
$Drivers = Get-PnpDevice | Where-Object {$_.Class -eq "System"}
foreach ($Driver in $Drivers) {
# デジタル署名の詳細を取得
$Signer = Get-AuthenticodeSignature -FilePath $Driver.DevicePath -ErrorAction SilentlyContinue
# ステータスがValid以外（署名なし、改ざん等）を検知
if ($Signer.Status -ne "Valid") {
$AlertMsg = "[ALERT] 署名異常ドライバを検知: $($Driver.FriendlyName)"
Write-Host $AlertMsg -ForegroundColor Red
# ここでSlack APIやSIEMに通知を飛ばす処理を記述する
}
}セキュリティの「盲点」を突くために
最後に一つ、現場の肌感覚として伝えておきたいことがある。攻撃者は常に「正規の管理者ツール」を悪用する。PsExec や WMI を駆使してドライバをインストールする際、彼らは正規の証明書を盗むか、あるいは古い脆弱なドライバを巧妙に差し替える。
防御側の我々に求められるのは、「正しい状態（Baseline）」を可視化しておくことだ。今日ロードされているドライバのリストを日次でハッシュ化し、前日と差分がないかを確認する。この「泥臭い継続的な確認」こそが、高度なフォレンジックを行うよりも前に、インシデントを未然に防ぐ唯一の防波堤になる。
技術は日々進化するが、攻撃の本質は変わらない。メモリの深淵を覗く勇気を持つエンジニアこそが、真の守護者になれるはずだ。何かあれば、いつでも相談してほしい。
コメント