【入門編】メモリフォレンジックにおけるページファイルとハイバネーションファイルの活用 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

「消えた証拠」を追え！メモリフォレンジックでPCの記憶をサルベージする極意

こんにちは！インシデントレスポンスの現場で、日々「デジタルな泥棒」たちの足跡を追いかけているSOCアナリストです。

さて、皆さんは「メモリダンプ」という言葉を聞いたことはありますか？PCが稼働している時の「脳みそ」の中身を丸ごとコピーして解析する、DFIR（デジタルフォレンジック＆インシデントレスポンス）の究極奥義です。しかし、現場では「いざ解析しようとしたら、データが足りない！」なんてトラブルが日常茶飯事。

今日は、そんな絶望的な状況を救う「隠れた記憶の宝庫」、pagefile.sysとhiberfil.sysの活用法について、身近な例えを交えて紐解いていきましょう。

—

1. なぜ「脳みそ」だけでは不十分なのか？

想像してみてください。あなたは今、家（PC）で料理（プログラム実行）をしています。

物理メモリ（RAM）： 作業台の上のまな板。作業スピードは爆速ですが、火を止めると（電源オフ）全て消えてしまいます。
pagefile.sys（ページファイル）： 作業台がいっぱいになったときに、一時的に廊下（ストレージ）に置いておく「仮置き場」。
hiberfil.sys（ハイバネーションファイル）： 長時間外出するときに、作業台の上の状態をそのまま箱に詰め込んで、玄関に置いておく「一時保管ボックス」。

攻撃者がPCに侵入した時、彼らは作業台の上だけでなく、実はこの「廊下」や「玄関」にも自分の道具（マルウェアの断片や認証情報）を隠していることがあります。メモリダンプだけを拾っても、ここを無視すれば「証拠の半分を見逃している」のと同じなんです。

—

2. ページファイルとハイバネーションファイルを「発掘」する

物理メモリが完全にキャプチャできない場合、これらのファイルが解析の命綱になります。特に、ハイバネーションファイルにはPCをシャットダウンした瞬間の「全記憶」がパックされているため、宝の山であることが多いです。

これらを解析するには、オープンソースの強力な武器である「Volatility」を使うのが業界の標準です。

解析のための準備ステップ

まずは、これらのファイルをダンプから変換し、解析可能な形式に整える必要があります。

# 1. ハイバネーションファイルをメモリイメージに変換する（Windowsの場合）
# 'hiber2bin.py' 等のツールを使って、圧縮されたファイルを解析用に展開します
python hiber2bin.py hiberfil.sys memory_dump.raw

# 2. Volatilityを使って、変換後のファイルを読み込ませる
# プロセスリストを確認して、不審な挙動がないかチェックします
vol.py -f memory_dump.raw --profile=Win10x64_19041 pslist

# 【解説】pslist は、PC内で現在動いているプロセスを一覧表示するコマンドです。
# 普段見慣れない名前のプロセスや、怪しい場所に配置された実行ファイルを見つけ出すのが第一歩ですね！

—

3. なぜ「隠し場所」を知ることが重要なのか？

攻撃者は狡猾です。彼らは自分のプログラムをpagefile.sysに退避させて、メモリ上の痕跡を消そうとします（メモリレス・マルウェアの手法）。

しかし、ここで思い出してください。彼らがどれだけ綺麗に掃除しても、「廊下（ページファイル）」には必ず足跡が残ります。

防御のポイント：

システム管理者は、むやみにページファイルを無効化するのではなく、暗号化を検討したり、定期的にストレージのフォレンジックができる体制を作っておくことが重要です。また、不審な通信が発生した際は、メモリダンプだけでなく、これら「仮置き場」のファイルもセットで保全する癖をつけましょう。

—

4. 今日からできる一歩

セキュリティを難しく考える必要はありません。まずは以下のことを意識するだけで、調査の精度がグッと上がります。

1. 保全の優先順位： PCをシャットダウンする前に、まずはメモリ（RAM）をダンプする。
2. ファイルの確保： 物理メモリが取れない、あるいは不完全な場合は、必ず C:\pagefile.sys と C:\hiberfil.sys をコピー（保全）しておく。
3. 解析の習慣： strings コマンドでファイルの中身を覗いてみるだけでも、悪意ある文字列（IPアドレスや怪しいコマンド）が見つかることがあります。

# 文字列を抽出して、怪しいIPアドレスを探す例
strings pagefile.sys | grep -E "[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}" > suspicious_ips.txt

# 【解説】grepコマンドでIPアドレスの形式に一致するものを抽出しています。
# 「こんなところに何で外部IPが？」という違和感こそが、調査の始まりですよ！

—

最後に：フォレンジックは「物語」を読み解くこと

メモリフォレンジックは、単なるデジタル解析ではなく、「そのPCで何が起きたのか」という物語を読み解く作業です。

最初は難しく感じるかもしれませんが、一つずつ「ここには何があるのかな？」と疑問を持って触れていけば、必ず攻撃者の足跡が見えてくるようになります。皆さんのPCという「お城」を守るために、ぜひ今日の知識を役立ててみてくださいね。

また次回の記事で、より深い「闇」の解剖を一緒にしていきましょう！それでは！