こんにちは！インシデントレスポンスの現場で、日々「デジタルな泥棒」たちの足跡を追いかけているアナリストです。
今日は、メモリの中を覗き込んで「システムがどう乗っ取られたか」を突き止める、ちょっとワクワクするような技術のお話をしますね。「レジストリハイブのメモリ解析」なんて聞くと難しそうに聞こえますが、大丈夫。身近な例えで、一歩ずつ紐解いていきましょう。
—
1. レジストリって、家の「家系図と備忘録」みたいなもの
Windowsのレジストリは、いわばそのパソコンの「すべてが書かれた備忘録」です。どのアプリをいつ起動するか、パスワードのルールはどうなっているか、USBメモリを挿した記録まで、何でもここに書き込まれています。
攻撃者は、自分のプログラムを勝手に自動起動させたり、セキュリティ設定をこっそり無効化したりするために、この「備忘録」を書き換えます。
泥棒は「玄関の鍵」をどういじるか
泥棒（攻撃者）が家に侵入したら、まず何をするでしょうか？「またいつでも入れるように」と、合い鍵を作ったり、防犯カメラの電源を切ったりしますよね。レジストリの改ざんとは、まさにこれと同じです。
通常、この備忘録はハードディスクという「金庫」に入っています。でも、パソコンが動いている間は、この備忘録の一部が「メモリ（作業机）」の上に広げられています。メモリフォレンジックとは、この「作業机の上に広げられた書き換えられた備忘録」を盗み見る技術のことなんです。
—
2. なぜメモリを解析する必要があるの？
「ハードディスクの中身を調べればいいじゃん」と思うかもしれません。でも、最近の高度な攻撃者は、「ファイルレス攻撃」という手法を使います。
これは、ハードディスクに痕跡を残さず、メモリの上だけで悪さをする手法です。ハードディスクを調べても「何も見つからない……」となりますが、メモリという「作業机」をひっくり返せば、そこに犯人の足跡がくっきり残っている、というわけです。
—
3. 現場で使う「虫眼鏡」：Volatilityで抽出してみよう
メモリ解析の現場では、Volatilityというツールをよく使います。これを使うと、メモリ上に展開されたレジストリハイブを抽出し、人間が読める形に変換できます。
ステップ1：レジストリの場所を特定する
まずは、メモリの中にどんなレジストリが隠れているかを探します。
# メモリイメージからレジストリの場所を一覧表示するコマンド例です
python vol.py -f memory.raw windows.registry.hivelistこのコマンドを打つと、SYSTEMハイブやSOFTWAREハイブがメモリ上のどこにあるか（仮想アドレス）が表示されます。
ステップ2：怪しいキーを掘り起こす
次に、攻撃者がよく使う「自動起動」の設定（Runキーなど）を覗いてみます。
# 自動起動設定（Runキー）を抽出するコマンド
python vol.py -f memory.raw windows.registry.printkey --key "Software\Microsoft\Windows\CurrentVersion\Run"もし、ここに覚えのないプログラム名や、変なパスが書かれていたら……それが犯人の足跡です！
—
4. 開発者・インフラ担当者が知っておくべきこと
「自分は攻撃者じゃないから関係ない？」いえいえ、そんなことはありません。皆さんが普段書いているコードや構築しているサーバーの設定が、「どうやって乗っ取られやすいか」を知ることは、最強の防御になります。
- 権限の最小化: 泥棒に「備忘録」を書き換えさせないために、一般ユーザー権限で動くアプリは、レジストリの重要な場所を書き換えられないように設計しましょう。
- ログの重要性: メモリの中身はパソコンを再起動すると消えてしまいます。普段からサーバーのログを別の場所に転送しておくことが、最後の砦になります。
—
最後に：デジタルフォレンジックは「物語の解読」です
メモリ解析は、パズルを解くような作業です。「なぜこの設定が書き換わったのか？」「いつ、どのプロセスがやったのか？」と一つずつ繋げていくと、攻撃者の姿が浮かび上がってきます。
最初は難しく感じるかもしれませんが、まずは「自分のパソコンのレジストリを覗いてみる」ところから始めてみてください。regeditというコマンドで、皆さんのパソコンの「備忘録」を眺めるだけでも、OSの仕組みが少しずつ見えてくるはずです。
もし現場で不可解な挙動に出会ったら、焦らずに「作業机の上に何が残っているか」を想像してみてくださいね。それが、インシデントレスポンスの第一歩です。
また次の記事で、より深い「痕跡の追い方」についてお話ししましょう！
コメント