こんにちは！セキュリティの世界へようこそ。
新人のIT担当者や、これからセキュリティの勉強を始める開発者の皆さん、日々の業務お疲れ様です。「暗号」や「エンドポイント」といった言葉を聞くだけで、なんだか難しそうな壁を感じてしまうこと、ありませんか？
今回は、私たちが毎日使っているパソコン（エンドポイント）のなかで、こっそり行われている「悪い奴らの隠れんぼ」と、それを最新の防犯システム（EDR）がどうやって見つけ出しているのかについて、身近な例えを交えながら分かりやすく紐解いていきたいと思います。
一歩ずつ、のんびりと学んでいきましょうね！
—
1. 家の鍵で例える「プロセスインジェクション」と「EDR」の仕組み
まずは、サイバー攻撃の手口と防御の仕組みを、私たちの身近な「おうちの防犯」に例えて考えてみましょう。
泥棒が「まじめな家族」になりすます手口
パソコンの中では、たくさんのアプリ（プログラム）がそれぞれ「プロセス」という個別の部屋に分かれて動いています。例えば、ブラウザの部屋、メモ帳の部屋といった具合です。
通常のウイルス対策ソフト（昔ながらのアンチウイルス）は、部屋の入り口に立って「怪しい見た目のやつが来たら追い返す！」という門番をしていました。
しかし、最近の賢い攻撃者は違います。彼らは、警察や警備員から「安全です」と太鼓判を押されている、いわば「家族の一員（正当なプログラム）」の中にこっそり忍び込み、その体を乗っ取ってしまうのです。
これが、今回お話しする「メモリインジェクション（プロセスインジェクション）」と呼ばれる高度な攻撃です。本人になりすましているため、入り口の門番からは全く怪しく見えません。困ったものですよね。
EDRは「家の中の防犯カメラと敏腕コンシェルジュ」
では、この巧妙ななりすましをどうやって見破るのでしょうか？
ここで登場するのが、今回の主役であるEDR（Endpoint Detection and Response）です。
EDRは、家の「入り口」だけでなく、「家の中の廊下」や「リビング」の天井にも隠しカメラを設置し、家族一人ひとりの細かい動きをずっと見張っている敏腕コンシェルジュのような存在です。
「お父さん、さっきまで料理をしていたのに、急に金庫の鍵を開けようとしていないか？」「いつもと違う動きをしていないか？」という風に、その「振る舞い（挙動）」を細かくチェックして、「おい、今の動きはおかしいぞ！」と警報を鳴らしてくれるのです。
—
2. なぜAPIフックと振る舞い分析が必要なのか？
攻撃者がパソコンのメモリ上でコソコソと悪いことをするとき、彼らは必ずOS（Windowsなど）が用意している「お仕事用のお願い窓口（API）」を使わざるを得ません。
例えば、メモリの領域を新しく確保したり、他のプログラムの領域を書き換えたりするときには、Windowsに対して「こういう作業をしてくださいね」とお願いを出す必要があります。
APIフックという「聞き耳」
EDRはこの窓口の前に、こっそり「盗聴器（APIフック）」を仕掛けておきます。
プログラムがWindowsにお願いをするときに、EDRが「ちょっと待って、今何をお願いしたの？」と内容をチェックできるようにする仕組みです。
振る舞い分析という「パターンの見極め」
ただ、お願いを聞くだけではダメで、その「組み合わせ」を見るのが振る舞い分析です。
例えば、以下のような一連の流れがあったとします。
1. 「正当なオフィスソフト」が起動する（ここまではセーフ）
2. そのソフトが、突然「見知らぬ怪しいプログラム」のデータを自分のメモリ空間にコピーし始める（怪しい！）
3. コピーしたデータに向かって、突然プログラムの実行権限を切り替える（レッドカード！）
単体では何気ない動作でも、この「一連のストーリー（振る舞い）」を繋合わせると、まぎれもなくメモリインジェクションの手口だと分かります。EDRは、このストーリーの矛盾を見つけ出すのが得意なんです。
—
3. 実務で役立つ！EDRの検知パターンと設定の考え方
さて、ここからは少しだけ実務的なお話をしましょう。開発者やインフラ担当者の皆さんが、EDRの仕組みを理解し、いざという時のログ解析やルール設定にどう活かすかという視点です。
実際のセキュリティ製品（Microsoft Defender for EndpointやCrowdStrikeなど）では、以下のようなイベントパターンを監視・検知するようにルール（シグネチャや振る舞い検知ルール）が組まれています。
よくある検知のトリガー（疑似的な設定イメージ）
例えば、EDRやSIEM（ログ監視システム）に送られてくるイベントログの内部では、以下のような条件の組み合わせが警戒されます。
{
"event_name": "Suspicious_Process_Injection_Detected",
"severity": "High",
"indicators": {
"source_process": "C:\\Windows\\System32\\notepad.exe",
"target_process": "C:\\Windows\\System32\\notepad.exe",
"api_sequence": [
"VirtualAllocEx", // 別のプロセスのメモリ領域を確保したか？
"WriteProcessMemory", // その領域にデータを書き込んだか？
"CreateRemoteThread" // 書き込んだコードを別のプロセス上で強制実行させたか？
],
"description": "通常はメモリ書き換えを行わないプロセスからの不審なAPI呼び出しシーケンスを検知しました。"
}
}このように、VirtualAllocEx からの WriteProcessMemory、そして CreateRemoteThread という一連のAPIリクエストが短時間に発生した場合、EDRはこれを「典型的なインジェクション攻撃のパターン」として即座にブロック、あるいはアラートを上げます。
開発者が知っておくべき注意点（誤検知への配慮）
ここで一つ、現場でよくある落とし穴についてお伝えしておきます。
「じゃあ、すべてのプロセスインジェクションを完全にブロックすればいいんだな！」と思いがちですが、実は世の中の正当なソフトウェア（特にウイルス対策ソフト自身や、一部の開発・デバッグツール、ゲームのアンチチートソフトなど）も、正当な理由でメモリを操作する技術を使っていることがあります。
そのため、インフラやセキュリティの運用担当者は、「自社の環境で動いている正当な業務アプリが、誤って怪しいと判定されないか（誤検知：False Positive）」を常に確認し、EDRの例外設定を適切にチューニングする泥臭い作業が必要になります。ここが腕の見せどころですね。
—
4. まとめ：一歩ずつ、安全なシステムを作っていこう
今回は、エンドポイントにおけるEDRのメモリインジェクション検知について、家の防犯やAPIフックの仕組みを交えて解説しました。
- プロセスインジェクションとは、安全なプログラムのフリをして内部に入り込み、メモリを乗っ取る巧妙な手口。
- EDRは、プロセスごとの「振る舞いのストーリー」や「APIの呼び出し手順」を監視して、なりすましを見抜く防犯カメラ。
- 実務では、攻撃の検知だけでなく、自社の正当なアプリが誤検知されないようなチューニングも大切。
セキュリティの世界は覚えることが多くて圧倒されそうになりますが、基本の仕組みは「誰が・どこで・何をしているか」を丁寧に追うことに尽きます。
焦らず、一歩ずつ知識を深めて、安全で強靭なシステムを一緒に作っていきましょう！
コメント