泥棒は「足跡」を隠しきれない！メモリとイベントログで追うサイバー犯罪捜査の最前線
こんにちは！セキュリティの現場で日々、見えない敵と戦っているDFIR（デジタルフォレンジック・インシデントレスポンス）アナリストです。
突然ですが、皆さんの家を想像してみてください。玄関の鍵をしっかり閉めていても、泥棒は「窓の隙間」や「合鍵」を使って侵入してくることがありますよね。サイバーの世界でも同じです。堅牢なサーバーであっても、攻撃者はあの手この手で「お邪魔」してきます。
今日は、そんな厄介な侵入者が残した「かすかな足跡」を追いかけ、彼らがいつ入ってきて、何をして去っていったのかを解き明かす「時系列分析」の技術を、一緒に学んでいきましょう！
—
1. なぜ「イベントログ」だけでは不十分なのか？
Windowsには「イベントログ」という、いわば「家の警備日誌」があります。例えば、誰かが新しいプログラムを実行すると Event ID 4688 という記録が残ります。「いつ、どのユーザーが、どのアプリを動かしたか」が書かれているので、これを見れば泥棒の行動がわかる……と思いきや、実はこれだけでは不十分なんです。
プロの攻撃者は、この警備日誌を「書き換えたり消去したり」します。
そこで登場するのが「メモリフォレンジック」です。メモリは、PCが現在進行形で使っている「脳みそ」のような場所。ここには、攻撃者が消そうとしても消しきれない「今まさに動いているプロセスの生々しい姿」が残っています。
—
2. 泥棒の足跡を重ね合わせる：統合分析の魔法
「イベントログ（過去の記録）」と「メモリダンプ（現在の脳みそのコピー）」を突き合わせる。これが、我々調査官が使う最強の調査手法です。
- イベントログ: 「14:00に
powershell.exeが実行された」という記録がある。 - メモリダンプ: 「14:00に実行されたはずの
powershell.exeが、実は怪しいIPアドレスと通信し続けている」という事実がある。
この2つを合わせることで、「あ、これは単なる管理者の操作ではなく、外部から操られた攻撃の痕跡だ！」と確信を持って言えるようになるんです。
—
3. 実践：ログとメモリを突き合わせるためのヒント
皆さんが現場で調査を始める際、まずは以下のような視点でデータを紐解いてみてください。
攻撃者の足跡を特定するチェックリスト
1. プロセスの親子関係を確認: Event ID 4688 でプロセスツリーを辿り、本来ありえない親プロセス（例：Webサーバーが cmd.exe を起動している等）がないか探します。
2. メモリ上の偽装を見抜く: メモリ解析ツール（Volatility など）を使い、プロセス名と実際の実行ファイルを照合します。攻撃者は svchost.exe のような名前を騙ることが多いですが、メモリの中身を見ると正体がバレてしまいます。
調査時に役立つコマンド例（Volatility 3のイメージ）
攻撃者が隠れ潜んでいないか確認する際、以下のようなコマンドでメモリ上のプロセス一覧を抽出します。
# メモリダンプファイルからプロセスリストを抽出するコマンド例
# -f: ダンプファイル、windows.pslist: プロセス一覧を表示するプラグイン
vol -f memory_dump.raw windows.pslist > process_list.txt
# 補足：抽出したリストと、ログから得た時刻情報を照らし合わせ、
# 「実行時間が異常に短いプロセス」や「権限が不自然なプロセス」を抽出します。—
4. 「一歩ずつ」できる防犯対策：ログ設定の基本
「いきなりフォレンジックなんて難しそう……」と思われた方も安心してください。まずは、後から泥棒を追いかけられるように「しっかりとした記録」を残すことから始めましょう。
Windowsのグループポリシーで、以下の設定を見直すだけで、調査の精度が劇的に上がります。
- 監査ポリシーの有効化:
- 「プロセス作成の監査」を有効にする（
Event ID 4688が記録されるようになります）。 - 「コマンドライン引数の監査」を有効にする（攻撃者がどんな命令を打ち込んだかまで見えるようになります！）。
# 管理者権限でコマンドプロンプトを開き、監査設定を確認する例
auditpol /get /category:*
# 「詳細な追跡」カテゴリが有効になっているかを確認するのが第一歩です！—
最後に：セキュリティは「動いている時」がすべて
サイバー攻撃者は、皆さんが寝静まった夜や、業務が忙しくて管理が行き届かない隙を狙います。しかし、彼らも「コンピュータという物理的な制約」からは逃れられません。
メモリという「脳」と、イベントログという「日誌」。この2つを組み合わせて分析する癖をつければ、皆さんも立派なDFIRの第一歩を踏み出したことになります。
最初は難しいかもしれませんが、焦る必要はありません。まずは「あれ、このログの動き、なんか変だな？」という直感を大切にしてください。その小さな違和感こそが、大きな被害を防ぐ最大の武器になるのですから。
それでは、また次回の記事で、より深い「現場の知恵」をお届けしますね！一緒に守りを固めていきましょう。
コメント