【入門編】メモリ上の環境変数とコマンドライン引数の解析による攻撃者の意図特定 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

犯人は「足跡」を消せない：メモリフォレンジックで暴く攻撃者の「本当の狙い」

こんにちは！セキュリティの現場で日々、見えない敵と対峙しているSOCアナリストです。

さて、皆さんは「泥棒」を想像してみてください。彼らは家に侵入する際、玄関の鍵を壊したり、窓を割ったりしますよね。でも、優秀な刑事は、泥棒が通り過ぎた後に残された「わずかな足跡」や「落とし物」から、彼らが次にどこへ行こうとしていたのか、あるいは何を探していたのかを読み解きます。

サイバーセキュリティの世界でも同じです。攻撃者がPCに侵入したとき、彼らは自分の行動を消そうと必死になりますが、「メモリ（RAM）」という名の砂場だけは、どうしてもごまかせない痕跡を残してしまうのです。

今日は、攻撃者が隠そうとした「コマンドの正体」をメモリから引っ張り出し、彼らの計画を暴く方法を、専門用語を噛み砕きながら一緒に学んでいきましょう！

—

1. なぜ「メモリ」が重要なのか？：家の鍵と「独り言」

PCのメモリは、いわば「今まさに作業中の机の上」です。

ハードディスクは「本棚」です。電源を切っても本（データ）は残りますが、メモリは電源を切ると消えてしまう「作業用のメモ」です。攻撃者は、自分の姿を隠すために、ハードディスク上の証拠（ログなど）を消すかもしれません。

しかし、攻撃者がコマンドを実行する瞬間、その命令内容や、複雑に難読化された暗号のような文字列は、必ず「メモリ」という机の上に広げられます。彼らは実行する直前に、必ず自分の言葉（人間が読めるコマンド）に翻訳しなければならないからです。

2. 攻撃者の「隠し芸」を暴く：環境変数と引数の正体

攻撃者はよく、PowerShellというWindowsの強力なツールを悪用します。彼らは一見すると意味不明な文字列（Base64という暗号化のようなもの）を使って、セキュリティソフトの目をかいくぐろうとします。

しかし、メモリを解析すると、その「意味不明な文字列」が、実行される直前に「ちゃんとした命令文」として展開されている様子が見えてきます。

例えば、攻撃者が実行したコマンドライン引数（実行時のオプション）を覗き見ると、こんなことが分かります。

どのサーバーと通信しようとしていたのか？（IPアドレス）
どのファイルを盗み出そうとしていたのか？（パス）
次にどんなプログラムを動かそうとしていたのか？

—

3. 実践！メモリから「足跡」を抽出してみよう

今回は、メモリフォレンジックの定番ツール Volatility を使ったような感覚で、PowerShellの引数を抽出するイメージをコードで見てみましょう。

※ここでは、Windowsのシステム情報を取得する「お守り」のような簡易スクリプトの例を挙げます。

# プロセス一覧から「powershell.exe」を探し、その実行引数を表示するイメージ
# 実際にメモリ解析を行う際は、メモリダンプファイルに対して行います

$processList = Get-Process | Where-Object {$_.ProcessName -eq "powershell"}

foreach ($proc in $processList) {
    # 攻撃者はコマンドライン引数に隠しコマンドを仕込むことが多いです
    $commandLine = (Get-CimInstance Win32_Process -Filter "ProcessId = $($proc.Id)").CommandLine
    
    # 抽出したコマンドラインを表示
    Write-Host "発見したコマンドライン: " $commandLine
    
    # もし「-enc」という文字があれば、難読化されている可能性大！
    if ($commandLine -match "-enc") {
        Write-Host "注意！難読化されたコマンドが実行されています。" -ForegroundColor Red
    }
}

なぜこのチェックが大切なの？

-enc (EncodedCommand): 攻撃者は難読化のためにこれを使います。「鍵をかけられた引き出し」のようなものです。
hidden: 画面にウィンドウを出さずにコソコソ動くためのオプションです。

これらを監視するだけで、「おや、普通はこんな動きはしないぞ？」と気づくことができます。これがインシデントレスポンスの第一歩です。

—

4. 今日からできる「防犯対策」

「メモリ解析なんて難しそう…」と思いましたか？大丈夫です。まずは、普段の運用から「攻撃者の足跡を残しやすくする」設定を意識するだけで、セキュリティレベルはグッと上がります。

1. PowerShellのログ設定を有効にする:
Windowsの「Script Block Logging」を有効にすると、メモリ上で実行されたコマンドが、たとえ難読化されていても、デコードされた状態でログに残るようになります。これは「防犯カメラ」を設置するのと同じです。
2. 不審なコマンドライン引数を監視する:
もし皆さんがサーバー管理者なら、PowerShellが「hidden」や「bypass」といった引数で実行されていないか、ログを定期的にチェックする習慣をつけてみてください。

最後に：セキュリティは「泥棒との知恵比べ」

攻撃者は常に新しい隠れ蓑を用意してきます。しかし、彼らがどれだけ巧妙に隠れても、「プログラムを実行する」という物理的な制約から逃れることはできません。

メモリを覗くという行為は、いわば「犯人が部屋から出ていく瞬間に背中を捕まえる」ようなものです。難しく考えすぎず、「あ、この動き、なんだか怪しいな」という直感を信じて、一歩ずつ足跡を辿ってみてください。

皆さんの開発環境やサーバーが、今日も安全であることを願っています！分からないことがあれば、またいつでも聞きに来てくださいね。一歩ずつ、一緒に強くなっていきましょう！