Linuxメモリフォレンジックの極意：泥棒の「足跡」を捕まえる技術
こんにちは。インシデントレスポンスの現場で、日々「何が起きたのか？」というパズルを解いているSOCアナリストです。
今日は、Linuxサーバーが侵害された際、攻撃者が消し去ったはずの「犯人の足跡」をメモリから掘り起こす、少しプロフェッショナルな技術についてお話しします。
「メモリフォレンジック」と聞くと難しそうに聞こえますが、イメージは簡単です。泥棒が家に入り込んだ直後、まだ家の中が散らかっている状態（＝メモリ上のデータ）を写真に収める作業だと思ってください。ハードディスク（ストレージ）に残る記録は「日記」のようなものですが、メモリは「今、まさに何が起きているか」を映し出す鏡なのです。
—
1. なぜメモリを採取するのか？
悪意のあるプログラム（マルウェア）は、最近ではハードディスクにファイルを残さず、メモリ空間だけで活動する「ファイルレス攻撃」という手法を好みます。
もし、泥棒が玄関の鍵を壊さず、窓から侵入して家の中で隠れんぼをしていたら、外から見ても何もわかりませんよね？ メモリの中には、攻撃者が実行中のコマンド、通信先のIPアドレス、そして入力したパスワードまでがそのまま残っています。これを取り出すのが、フォレンジックの第一歩です。
—
2. Linuxメモリ取得の要：LiME（Linux Memory Extractor）
Linuxでメモリを取得するために最も信頼されているツールの一つが「LiME」です。ただし、これを使うには一つ大きな壁があります。「そのサーバーの心臓部（カーネル）に合わせた専用の設計図」が必要だということです。
LiMEはカーネルモジュールとして動くため、対象のLinuxカーネルのバージョンと完全に一致したビルドを行わないと、サーバーがクラッシュ（パニック）してしまいます。本番環境でやるときは、本当に緊張する瞬間です。
LiMEのビルド手順（例）
まず、対象サーバーでビルド環境を整えます。
# 必要なビルドツールをインストール
sudo apt-get install linux-headers-$(uname -r) build-essential git
# LiMEのソースコードを取得
git clone https://github.com/504ensicsLabs/LiME.git
cd LiME/src
# コンパイル実行（ここでカーネルモジュール .ko ファイルが生成されます）
makeここで生成された lime-*.ko というファイルが、メモリを吸い出すための鍵になります。
—
3. Volatility 3：見えないものを見える化する
取得したメモリのダンプファイルは、ただの「0と1の羅列」です。これを意味のあるデータに変換してくれるのが「Volatility 3」という強力な解析ツールです。
Volatilityにとって重要なのは「シンボル（Symbol）」です。これは、メモリ上のデータが「何を表しているのか（プロセスなのか、ネットワーク接続なのか）」を解釈するための辞書のようなものです。
シンボルファイルの生成
最近のLinux環境では、Volatility 3が自動的にシンボルを生成してくれる機能があります。まずは専用のディレクトリを作って準備しましょう。
# Volatility 3のディレクトリに移動
cd volatility3
# Linux用の中間シンボルファイル（.json）を生成するための設定
# ※対象マシンのカーネル情報を含んだファイルが必要です
python3 vol.py -f memory.dump linux.check_afinfoもし、解析対象のカーネル情報が標準で用意されていない場合は、自前で Intermediate Symbol File (ISF) を作成する必要があります。これがフォレンジック担当者の腕の見せ所です。
—
4. 現場で意識すべき「泥棒の盲点」
現場で調査をしていると、攻撃者はよく「プロセス名を偽装する」という手を使います。例えば、悪意のあるプログラムなのに [kworker/u:0] のように、いかにもシステムが使っていそうな名前に化けさせるのです。
Volatilityで解析する際は、以下のコマンドをよく使います。
# 実行中のプロセス一覧を表示する
python3 vol.py -f memory.dump linux.pslist
# ネットワーク接続状況を確認する
python3 vol.py -f memory.dump linux.netstatここで、pslist（実行中プロセス）には現れないのに、netstat（ネットワーク接続）には怪しい通信先が表示される場合……それは、「メモリ上に身を隠している不正なプログラム」がそこにいるという動かぬ証拠です。
—
最後に：一歩ずつ学んでいきましょう
ここまで読んで「難しそうだな…」と感じたかもしれません。でも、大丈夫です。最初は誰でも、サーバーのログを眺めることから始まります。
メモリフォレンジックは、いわば「デジタルな鑑識」です。現場で泥臭くデータを採取し、解析する。その一連の作業は、次に同じ攻撃が起きた時に、被害を最小限に抑えるための「最強の防犯対策」を導き出すヒントになります。
まずは仮想環境で、自分の手でメモリをダンプし、解析してみることから始めてみてください。失敗しても壊れるのは仮想環境だけです。その積み重ねが、いつか会社や大切なサービスを守るための大きな武器になるはずです。
もし分からないことがあれば、またいつでも聞きに来てくださいね。一緒に少しずつ、強くなっていきましょう！
コメント