【入門編】 メモリダンプの整合性検証とハッシュ値による証拠保全 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

みなさん、こんにちは！セキュリティの現場で日々、サイバー攻撃の痕跡を追いかけているSOCアナリストです。

さて、プログラミングやインフラの管理に慣れてくると、「サーバーが何だかおかしい」「メモリの中に怪しいプログラムが潜んでいる気がする……」という、冷や汗をかくような瞬間に出くわすことがありますよね。そんなときに行うのが、PCの「脳みそ」であるメモリのデータをまるごとファイルに保存するメモリダンプ（証拠保全）です。

でも、ちょっと待ってください。
「メモリをファイルに保存した！これで安心！」……とは、実はならないんです。現場のプロから見ると、ここからが本当の正念場。今回は、取得したメモリの「完全性（改ざんされていないこと）」を証明するためのハッシュ値と、証拠を守るためのルールについて、身近な例えを交えながら一歩ずつ優しく学んでいきましょう！

—

1. 家の鍵と「メモリダンプ」の切っても切れない関係

いきなりですが、あなたの家の玄関の鍵を想像してみてください。
旅行から帰ってきて、「あれ？なんだか鍵穴に傷がついているような……もしかして、留守中に誰かが合鍵を作って侵入したのでは？」と不安になったとします。

警察や管理会社に「泥棒が入りました！」と訴えるとき、ただ「なんだか怪しいんです」と言うだけでは、誰も動いてくれませんよね。「ここにピッキングの痕跡があります」「防犯カメラの映像のこの部分が証拠です」と、誰もが疑いようのない「確かな証拠」を見せる必要があります。

サイバーセキュリティの世界もこれとまったく同じです。
サーバーがハッキングされたとき、私たちはメモリ（RAM）という揮発性（電源を切ると消えてしまう）の領域に残された、攻撃者の足跡をすくい上げなければなりません。これがメモリダンプです。

しかし、ここで大きな問題が発生します。
「メモリのデータをコピーしてファイルに保存した」としても、そのファイルが「途中で誰にも書き換えられていないこと」を、どうやって証明すればよいのでしょうか？ もし、悪意ある第三者（あるいはパニックになった別の担当者）がファイルをうっかり改ざんしてしまっていたら？ 法的にも、社内のインシデント調査としても、そのデータは「ただのゴミ」になってしまいます。

だからこそ、「このデータは、あの瞬間に採取したときから一文字も変わっていません！」と証明する仕組みが必要不可欠なんです。

—

2. 証拠の「指紋」：ハッシュ値（SHA-256）ってなに？

ここで登場するのが、セキュリティの共通言語であるハッシュ値（Hash）です。

ハッシュ値は、いわば「データの指紋」だと思ってください。
どんなに大きなファイルであっても、計算プログラムに通すと、決まった文字数の文字列（例: e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 など）に変換されます。

このハッシュ値のすごいところは、「元のデータが1バイトでも書き換わると、指紋（ハッシュ値）がまったく別のものに変わる」という性質を持っている点です。

例えば、メモ帳で書いた「こんにちは」というファイルと、「こんニチは」というファイルのハッシュ値は、似ても似つかない全く別の文字列になります。これを利用すれば、私たちが取得したメモリダンプが、あとから誰かに改ざんされていないかを完璧に見破ることができるのです。

現場で使われるハッシュ計算のコマンド例

実際にインシデントレスポンスの現場では、メモリダンプを取得した「その瞬間」に、必ずハッシュ値を計算して記録します。

Windows環境でよく使われるPowerShellを使って、取得したメモリファイル（memory_dump.raw）のSHA-256ハッシュを計算する手順を見てみましょう。

# 【実務で使えるPowerShellスクリプト】
# 取得したメモリダンプファイルの整合性を担保するため、SHA-256ハッシュを計算します。

$targetFile = "C:\IncidentResponse\memory_dump.raw"

# ファイルが存在するか確認してから計算を実行します
if (Test-Path $targetFile) {
    Write-Host "ハッシュ値を計算中... しばらくお待ちください。" -ForegroundColor Cyan
    
    # Get-FileHash コマンドレットを使用してSHA-256ハッシュを取得
    $hashResult = Get-FileHash -Path $targetFile -Algorithm SHA256
    
    # 結果を表示
    Write-Host "--------------------------------------------------"
    Write-Host "ファイル名: $($hashResult.Path)"
    Write-Host "アルゴリズム: $($hashResult.Hash) (SHA256)"
    Write-Host "ハッシュ値: $($hashResult.Hash)"
    Write-Host "--------------------------------------------------"
    
    # 後から検証できるように、テキストファイルとしてログに保存しておく（超重要！）
    $logPath = "C:\IncidentResponse\hash_log.txt"
    "取得日時: $(Get-Date)" | Out-File -FilePath $logPath -Append
    "ファイル: $($hashResult.Path)" | Out-File -FilePath $logPath -Append
    "SHA-256: $($hashResult.Hash)" | Out-File -FilePath $logPath -Append
    "--------------------------------------------------" | Out-File -FilePath $logPath -Append
    
    Write-Host "ハッシュ値をログファイルに保存しました: $logPath" -ForegroundColor Green
} else {
    Write-Host "エラー: 指定されたメモリダンプファイルが見つかりません。" -ForegroundColor Red
}

このコードのポイントは、単に画面に表示するだけでなく、hash_log.txt という別の安全な場所にハッシュ値を書き残しているところです。もし後日、「このメモリデータ、本当に本物？」と疑われたとき、このログと現在のファイルのハッシュ値を突き合わせることで、「正真正銘、あの瞬間のデータです！」と胸を張って証明できるようになります。

—

3. 法的有効性を守る「チェーン・オブ・カストディ（証拠の保全連鎖）」

ハッシュ値でデータの完全性を守るのと同時に、もう一つ絶対に外せない概念があります。それが「チェーン・オブ・カストディ（Chain of Custody：証拠の保全連鎖）」です。

なんだか難しそうな名前ですが、要するに「この証拠品を、誰が、いつ、どこからどこへ持ち運び、誰が保管していたかの履歴書」のことです。

海外のミステリードラマやサスペンス映画で、警察官がビニール袋に入った証拠品にタグを貼り、「誰が触ったかサインしろ！」と言っているシーンを見たことはありませんか？あれがまさにチェーン・オブ・カストディです。

もし、あなたが会社でセキュリティインシデントに遭遇し、次のような雑な対応をしてしまったと想像してください。

1. 「なんか怪しいからメモリを抜いたよ！」と言って、USBメモリに保存する。
2. そのUSBメモリを、自分の机の引き出しにポイッと入れて、翌日まで忘れる。
3. 同僚が「あ、これ空いてるUSBじゃん」と言って、プライベートの音楽ファイルを入れようとする。

……これでは、裁判や社内監査で「この証拠、途中で誰かがいじった（あるいは別の不正なデータを混ぜた）可能性があるのでは？」と指摘されたとき、完全に詰んでしまいます。

証拠管理の鉄則

インシデントレスポンスを行う際は、以下のルールを徹底しましょう。

  • アクセス権の制限: メモリダンプや証拠ファイルが入ったストレージには、調査に関わる必要最低限のメンバーしかアクセスできないようにする。
  • タイムスタンプの維持: ファイルの作成日時やアクセス日時が狂わないように注意する（可能であれば、書き込み禁止（ライトブロック）機能を持つ媒体を使用する）。
  • 台帳の記録（誰が持っていたか）:
  • 誰がいつ取得したか
  • どの端末（ホスト名、IPアドレス）から取得したか
  • 取得時のハッシュ値は何か
  • 現在、誰の管理下にあるか

これらをExcelや専用のインシデント管理ツールでしっかりと記録していくことが、プロのセキュリティエンジニアとしての第一歩になります。

—

まとめ：一歩ずつ、確実に証拠を扱えるエンジニアへ

今回は、メモリフォレンジックにおける「メモリダンプの整合性検証（ハッシュ値）」と「チェーン・オブ・カストディ」についてお話しました。

  • メモリダンプは、ただ取得するだけでは不十分。
  • SHA-256などのハッシュ値を使って、データの「指紋」を残し、改ざんされていないことを証明する。
  • 「誰がいつ触ったか」の履歴（チェーン・オブ・カストディ）をしっかり管理して、証拠としての法的・組織的有効性を担保する。

初めてセキュリティやフォレンジックに触れるときは、専門用語が多くて圧倒されてしまうかもしれません。でも、一つひとつの仕組みは「家の鍵を防犯する」「大事な手紙のやり取りを記録する」といった、私たちの日常生活の延長線上にあります。

慌てず、確実な手順を踏みながら、一歩ずつスキルアップしていきましょう！次のインシデント対応では、きっと冷静に、スマートに証拠を守り抜けるはずです。それでは、また次回のセキュリティ解説でお会いしましょう！

スポンサーリンク

コメント

タイトルとURLをコピーしました