こんにちは！インシデントレスポンスの現場を渡り歩いているSOCアナリストです。
日頃からシステムの安全を守るために奮闘されているインフラエンジニアや開発者の皆さん、お疲れ様です。今日は、少しドキッとするテーマについてお話しします。
皆さんは「メモリフォレンジック」という言葉を聞いたことがありますでしょうか？
難しそうに聞こえますが、簡単に言うと「コンピューターが今まさに考えていること（脳みそ）をそっくりそのまま写真に撮って、後から悪い奴の足跡を探す捜査技術」のことです。パソコンの電源を切ると消えてしまうRAM（メモリ）という記憶領域を保存し、そこに潜むマルウェアの尻尾を掴む、私たちセキュリティアナリストのいわば「十八番（おはこ）」の技術です。
しかし、世の中のサイバー攻撃者も一枚上手です。私たちが「よし、メモリをダンプ（保存）して証拠を押さえるぞ！」と意気込むと、それを察知してマルウェアがこつ然と姿を消したり、証拠をバラバラに粉砕して見えなくしたりする「アンチフォレンジック（フォレンジック妨害）」というずる賢い手口を使ってきます。
今回は、この攻撃者たちの裏をかくテクニックと、それにどう立ち向かえばいいのかを、身近な例えを交えながら一歩ずつ一緒に見ていきましょう！
—
1. 家の鍵と泥棒に例える「メモリフォレンジック妨害」の仕組み
まずは、セキュリティの世界を私たちの身近な生活に置き換えて考えてみましょう。
- メモリ（RAM） ＝ 家の中のリビングルーム。今まさに家族が何を食べて、どこに何を置いているか（実行中のプログラム）が丸見えの場所です。
- メモリダンプ ＝ リビングの様子をカメラでパシャリと撮影し、警察（私たち）が証拠として持ち帰ることです。
- マルウェア ＝ リビングにこっそり入り込んだ泥棒です。
普通の泥棒であれば、警察が踏み込んできた瞬間に慌てて逃げ出しますよね。しかし、最近の高度なマルウェア（泥棒）はもっと狡猾です。
警察がカメラを取り出す気配（メモリダンプツールが動く気配）を察知した瞬間、リビングの真ん中で持っていた証拠の品をすべてシュレッダーにかけてバラバラにしたり、自分自身の気配を完全に消して「私は家具の一部ですよ」とばかりにフリーズしたりするのです。
これが、メモリフォレンジックの世界で行われている「自己破壊」や「メモリの断片化」というアンチフォレンジックの正体になります。せっかく現場を押さえにいったのに、手元にはぐちゃぐちゃに壊された破片しか残らない……。現場のエンジニアにとって、本当に頭が痛い瞬間です。
—
2. なぜ彼らは検知できるのか？ 攻撃者の狡猾な手口
では、マルウェアはどうやって私たちがメモリを覗き見ようとしていることに気づくのでしょうか？
実は、WindowsなどのOSでメモリをごっそりファイルに保存しようとすると、必ず「特別な許可証（API）」を発行してもらう必要があります。例えるなら、警察が家を捜索するために「捜査令状」を役所にもらいに行くようなものです。
狡猾なマルウェアは、この「役所の窓口（APIやドライバ）」をこっそり監視しています。
「おや、今『メモリをくれ』という令状が発行されたぞ。これはヤバい、私を捕まえにくる気だ！」と察知したマルウェアは、次のような驚きの行動に出ます。
1. 自らメモリ上の自分の存在を消す（自己解放 / Unlinking）
OSが管理している「今動いているプログラムリスト」から自分の名前をこっそり消去します。すると、メモリダンプを取っても、あたかも「何も怪しいものはいませんでした」という顔をすることができます。
2. メモリをあえて細切れにする（断片化）
連続したキレイなデータとして見つからないよう、メモリのあちこちに自分の体のパーツをバラバラに配置します。パズルのピースが部屋中に散らばっていたら、警察も「何が何だか分からない」と諦めてしまいますよね。
—
3. 現場でどう対抗する？ 実践的なアプローチと対策
「そんなの、向こうが一枚上手なら打つ手なしじゃないか……」と落ち込む必要はありません！ 私たちにも対抗手段はちゃんとあります。
正面から「メモリをダンプしてください」とOSにお願いする方法がダメなら、「OSの窓口を通さずに、直接ハードウェアや別の安全なルートから証拠を採取する」というアプローチを取ります。
例えば、実務の現場では以下のようなツールやアプローチが検討されます。
- 信頼できるハードウェアベースのキャプチャ（物理的に特殊なボードやUSBデバイスを使用する）
- EDR（Endpoint Detection and Response）によるリアルタイム監視（メモリダンプを取られる前に、その不正な「隠蔽工作」の瞬間を捉えてブロックする）
ここで、開発やインフラの現場で「不審なプロセスの挙動を検知・記録する」ための、Pythonを使った簡単なログ監視のイメージコードを見てみましょう。実務でそのままベースとして使えるよう、日本語で丁寧にコメントを添えています。
import time
import psutil
def monitor_suspicious_behavior():
"""
システム上で動いているプロセスを常時監視し、
メモリを大量に消費したり、急に姿を消したりする不審な挙動を検知するサンプルです。
"""
print("[-] プロセス監視システムを起動しました。安全な環境を守るため監視を開始します...")
# 既知の安全なプロセスリスト（例として一部を記載）
known_safe_processes = {"system", "smss.exe", "csrss.exe", "explorer.exe"}
while True:
try:
current_processes = {}
# 現在実行中のプロセス情報を取得
for proc in psutil.process_iter(['pid', 'name']):
p_info = proc.info
if p_info['name']:
current_processes[p_info['pid']] = p_info['name'].lower()
# ここに「急に消えたプロセス」や「隠れようとするプロセス」を検知するロジックを組み込みます
# （実際のEDRはこの背後でカーネルレベルの深い監視を行っています）
time.sleep(5) * 5秒ごとにチェックを実施
except (psutil.NoSuchProcess, psutil.AccessDenied, psutil.ZombieProcess):
# プロセスが急に終了した場合のエラーハンドリング
continue
except KeyboardInterrupt:
print("\n[+] 監視を終了します。お疲れ様でした！")
break
if __name__ == "__main__":
monitor_suspicious_behavior()このコード自体がすべてのアンチフォレンジックを防ぐわけではありませんが、「OSの通常ルートが信用ならないなら、自分たちで泥臭く状態をチェックし続ける必要がある」という現場の泥臭いアプローチの基本形となります。
—
4. 一歩ずつ対策を学んでいきましょう！
メモリフォレンジックにおけるアンチフォレンジック技術の回避は、セキュリティの初心者やIT担当者にとって、最初は少し難解に感じられたかもしれません。「攻撃者はそこまで考えているのか……」と圧倒されてしまうこともあるでしょう。
ですが、安心してください。私たちセキュリティエンジニアも、攻撃者の手口を知るたびに新しい盾を作り、セキュリティを強固にしてきました。
大切なのは、「敵は私たちの裏をかいて証拠を消そうとするものだ」という前提（ゼロトラストの精神）を頭の片隅に置いておくことです。いざという時に慌てず、適切なツールや多層的な防御（EDRの導入や、ログの外部保存など）を組み合わせることで、巧妙な攻撃者の足跡を確実に捉えることができるようになります。
一歩ずつ、焦らずに知識と経験を積み上げていきましょう。あなたのその日々の地道な努力こそが、組織やサービスを守る一番の強大な盾になります。それでは、次回の記事でもまた現場のリアルな知見をお届けしますね！
コメント