「消える証拠」を掴め！Windowsメモリフォレンジック入門：現場の技術者が教えるメモの取り方
こんにちは！SOC（セキュリティオペレーションセンター）で日々、攻撃者と知恵比べをしているアナリストです。
さて、皆さんは「メモリフォレンジック」という言葉を聞いたことはありますか？
難しそうに聞こえるかもしれませんが、実はとってもシンプル。簡単に言えば「犯行現場の空気をそのまま瓶に詰め込む作業」です。
今日は、システムに侵入した攻撃者が「証拠」を隠蔽しようとしても、その尻尾を確実に掴むための「メモリダンプ取得」について、泥臭い現場のノウハウを交えて解説していきますね。
—
なぜ「メモリ」を保存するの？
例え話をしましょう。あなたの家に泥棒が入ったとします。
警察が来る前に、泥棒は「玄関の鍵（ファイル）」をかけ直し、部屋を掃除して痕跡を消そうとするかもしれません。
でも、「泥棒が今まさに手に持っている凶器」や「どこに隠れたかという記憶」は、泥棒の頭の中（メモリ）にしかありません。
コンピュータの世界も同じです。悪意のあるプログラム（マルウェア）は、ハードディスク上に自分の姿を隠すのが得意ですが、動いているプログラムの情報や通信先、入力したパスワードは「メモリ」という一時的な作業台の上にしか存在しません。電源を切ったり再起動したりした瞬間に、その情報はすべて消えてしまうのです。
だからこそ、私たちは「電源を切る前に、メモリの中身をそっくりそのままコピー（ダンプ）」する必要があるんですね。
—
現場で使う「魔法のツール」たち
メモリダンプを取得する際は、システムに極力負荷をかけないことが鉄則です。現場でよく使われる定番ツールを2つ紹介します。
1. DumpIt（Comae Technologies）
昔からの定番です。コマンドラインで動く非常にシンプルなツールで、余計な動きをしないので、調査対象の環境を汚したくない時に重宝します。
2. Magnet RAM Capture
GUI（画面）があるため、コマンド操作に慣れていない方でも安心です。非常に効率よくメモリを書き出してくれるため、現場でもよく利用されます。
—
いざ実践！メモリダンプ取得のベストプラクティス
それでは、実際にどのように取得するのか、具体的な手順を見ていきましょう。
手順1：USBメモリの準備
調査対象のPCに直接保存すると、その書き込みによって「メモリの一部が上書き（破壊）」されてしまいます。必ず外部ストレージ（USBメモリ等）を接続し、そこに保存するようにしましょう。
手順2：ツールを実行する（例：DumpIt）
管理者権限でコマンドプロンプトを開き、以下のように実行します。
:: USBメモリのパスを指定してダンプを実行します
:: /y は確認メッセージをスキップするオプションです
D:\tools\DumpIt.exe /y /o E:\evidence\memory_dump.raw手順3：静かに見守る
取得中はシステムが少し重くなりますが、ここで焦ってマウスをガチャガチャ動かしてはいけません。静かに完了を待つのが、プロの所作です。
—
現場アナリストからの「ここだけの注意点」
現場で何度も見てきた失敗談を共有します。これだけは避けてくださいね。
1. 「再起動」は厳禁！
「調子が悪いから」といって再起動すると、せっかくの証拠がすべて消えてしまいます。どんなに怪しくても、まずはそのままの状態を保存しましょう。
2. ウイルス対策ソフトに気を遣う
メモリダンプツールをダウンロードした瞬間、ウイルス対策ソフトが「怪しい動きだ！」と検知して止めてしまうことがあります。事前に除外設定をするか、一時的に制御を緩める工夫が必要です。
3. 「生データ」を大切に
取得した memory_dump.raw というファイルは、ハッシュ値（ファイルの指紋のようなもの）を必ず計算し、後から「改ざんされていないこと」を証明できるようにしておきましょう。
# PowerShellでファイルのハッシュ値（SHA256）を計算するコマンド
Get-FileHash -Path "E:\evidence\memory_dump.raw" -Algorithm SHA256—
まとめ：一歩ずつ対策を学んでいきましょう！
メモリフォレンジックは、まるで「犯人の心を読む作業」です。最初は難しく感じるかもしれませんが、まずは「今、何が動いているか？」を覗き見ることから始めてみてください。
もし皆さんのシステムで「あれ？なんか挙動がおかしいな」と感じたら、まずは焦らず、今回紹介した手順で「空気（メモリ）」を保存することを検討してみてくださいね。
セキュリティは、派手なハッキング合戦だけではありません。こういった地味で確実な「足跡を残す作業」の積み重ねこそが、最強の防御になるんです。
それでは、また次の記事でお会いしましょう！皆さんのシステムが安全に守られますように。
コメント