【入門編】カーネルモードルートキットによるSSDTフックのメモリ上での検出 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

こんにちは！SOCアナリストの現場へようこそ。
今日は少しだけ背筋が凍るような、でもセキュリティエンジニアなら一度は向き合うべき「隠れんぼの達人」の話をしましょう。

「カーネルモードルートキットによるSSDTフック」。名前だけで難しそうですよね。でも、身近な例えで考えると、意外とシンプルなんです。さあ、一緒に紐解いていきましょう。

—

1. SSDTって何？：家の「管理台帳」をイメージしよう

まず、Windows OSには「SSDT（System Service Descriptor Table）」という大事なリストがあります。

想像してみてください。あなたは今、一軒家に住んでいます。家の中に何かを頼みたいとき（例えば、「窓を開けて」とか「ファイルを保存して」とか）、あなたは必ず「管理人さん」にお願いしますよね。管理人さんは「よし、窓を開ける手順はこうだね」と、分厚い「作業マニュアル（＝SSDT）」をめくって、その通りに実行してくれます。

このマニュアルには「この命令が来たら、このプログラムを動かせ」という、OSの根幹を成すルールが書かれています。

攻撃者は何をするのか？

悪意のある攻撃者（ルートキット）は、この管理人さんを騙すために、夜中にこっそりマニュアルのページを差し替えてしまいます。

あなたが「ファイルを保存して！」と頼むと、管理人さんは偽のマニュアルを見て、「あ、ファイル保存の依頼だね。ついでに『裏口の鍵をこっそり開けておく』という作業も追加しておこう」なんていう、とんでもない横槍を入れてしまうんです。これが「SSDTフック」の正体です。

—

2. なぜ「メモリフォレンジック」でしか見抜けないのか？

なぜ普通のウイルス対策ソフトでは気づけないのでしょうか？それは、攻撃者が「管理人さんそのもの」を操っているからです。

攻撃者は、OSが正常に動いているように見せかけるために、自分たちが書き換えた箇所を隠蔽します。ファイルシステム上の痕跡を消すのは簡単ですが、「今まさに動いている」という事実は、メモリ（RAM）の中にしか存在しません。

だからこそ、私たちはパソコンが動いているその瞬間の「脳みそ（メモリ）」をダンプ（コピー）して、診断する必要があるんです。

—

3. 実戦：メモリダンプから怪しい動きを見つける手順

ここでは、フォレンジックの定番ツールである Volatility Framework を使った調査の考え方をお伝えします。

手順①：メモリダンプの取得

まずは、感染したPCのメモリをファイル（memdump.raw）として保存します。これには DumpIt などのツールを使います。

手順②：SSDTの整合性をチェックする

Volatility には ssdt というプラグインがあり、これを使うとSSDTのリストを一覧表示できます。

# Volatilityを使ってSSDTの情報を解析するコマンド例
# -f: ダンプファイル指定
# --profile: OSのバージョン指定（非常に重要！）
vol.py -f memdump.raw --profile=Win7SP1x64 ssdt

手順③：異常を見分けるポイント

出力結果を見て、以下のような違和感を探します。

アドレスの不一致： 本来、SSDTの関数は ntoskrnl.exe（OSの心臓部）のメモリ空間を指しているはずです。もし、そこから大きく外れた「変な場所（ロードされたばかりの怪しいドライバの空間など）」を指していたら、それがフックの証拠です。

【コードによるイメージ：簡易的なチェックロジック】
もし私たちが自分でチェックツールを作るなら、こんなロジックを考えます。

# 擬似コード：SSDTが正常なメモリ範囲にあるか確認するイメージ
def check_ssdt_integrity(ssdt_entry_address):
    # ntoskrnlのベースアドレスとサイズ
    kernel_start = 0xFFFFF80000000000
    kernel_end   = 0xFFFFF80000A00000
    
    # もし、SSDTが指し示す先がカーネルの領域外なら…？
    if not (kernel_start <= ssdt_entry_address <= kernel_end):
        print("警告！SSDTフックを検知しました：", hex(ssdt_entry_address))
        return True # 異常あり！
    return False

—

4. 防御への第一歩：どう備えればいい？

「こんなの防げるの？」と不安になりますよね。大丈夫です。カーネルモードにまで侵入されるのは、既に大きなセキュリティホールを突かれている状態です。以下の基本を徹底しましょう。

1. 署名なきドライバを許さない： Windowsの「ドライバー署名の強制」を絶対にオフにしないでください。悪意のあるドライバがカーネルに入るのを防ぐ最大の防壁です。
2. パッチを当てる： カーネルモードに侵入する攻撃の多くは、既知の脆弱性を利用します。OSの更新は、家の鍵を最新のものに交換するのと同じくらい重要です。
3. 最小権限の原則： 一般ユーザーとしてPCを使いましょう。管理者権限が必要な作業を日常的に行うのは、家に誰でも開けられるマスターキーを置いておくようなものです。

—

最後に：一歩ずつ進んでいきましょう

SSDTフックの調査は、まさに「オペ室で外科手術をする」ような作業です。最初は専門用語だらけで圧倒されるかもしれませんが、大丈夫。誰もが最初は「管理人さんのマニュアル」を理解するところから始まります。

もし、目の前のPCが少しでも挙動不審だと感じたら、すぐにネットワークから切り離し、メモリダンプを保存してください。その「勘」こそが、フォレンジックの第一歩です。

また分からないことがあればいつでも聞いてくださいね。一緒に少しずつ、強くなっていきましょう！