こんにちは！現場で数々のサイバー攻撃の「犯行現場」を調査してきた、SOCアナリスト兼セキュリティライターです。
皆さんは「デジタルフォレンジック」という言葉を聞いたことがありますか？ 簡単に言うと「ITの鑑識捜査」のことです。泥棒が入った家に鑑識が入って指紋や足跡を探すように、私たちはサーバーに残されたハッカーの痕跡を一つひとつ追いかけていきます。
その中でも、特に難易度が高く、かつ決定的な証拠が見つかるのが「メモリフォレンジック」です。今回は、最近主流のクラウド環境（AWSやAzureなど）において、どのようにして「消えてしまう証拠」を掴むのか、初心者の方にも分かりやすく解説していきますね！
—
1. なぜ「メモリ」を調べる必要があるの？
まず、なぜわざわざ「メモリ」なんていうややこしい場所を調べるのか、家の防犯に例えてお話しします。
従来の調査（ディスクフォレンジック）は、「泥棒が去った後の部屋に残された日記（ログファイル）」を調べるようなものです。でも最近の賢い泥棒（高度なマルウェア）は、日記に何も書かないし、証拠となる足跡もきれいに消して帰ります。
しかし、そんな泥棒でも「今まさに部屋の中で動いている瞬間」だけは隠せません。
- 泥棒がどこに隠れているのか？
- どんな鍵開け道具を使っているのか？
- 盗んだデータをどこに送ろうとしているのか？
これらがすべてリアルタイムで展開されている場所、それが「メモリ（RAM）」なんです。メモリは「作業机」のようなもので、PCの電源を切ると中身が消えてしまいます。だからこそ、電源を切る前に「今の机の状態をまるごと写真に撮る」技術が必要になるのです。
—
2. クラウド特有の悩み：物理的なアクセスができない！
昔ながらの調査なら、現場に駆けつけて物理的なサーバーからメモリを吸い出すことができました。しかし、AWSやAzureといったクラウド環境ではそうはいきません。
クラウドにあるサーバー（インスタンス）は、いわば「他人の家の魔法の部屋」を借りているようなもの。
- 物理的なボタンを触ることはできない。
- 調査のためにログイン（SSH/RDP）すると、その操作自体が証拠を上書きしてしまう。
- 焦ってインスタンスを停止させると、メモリの中身は一瞬で消えてしまう。
こうした「触れない証拠」をどうやって安全に、かつ確実に確保するかが、クラウドフォレンジックの腕の見せ所なんです。
—
3. 解決策：APIとスナップショットという「魔法のカメラ」
クラウド環境には、物理環境にはない強力な武器があります。それが「API」と「スナップショット」です。
わざわざサーバーの中にログインしなくても、外側（クラウド管理側）から「今の状態を保存して！」と命令を送ることができるんです。
① インスタンスの一時停止（ハイバネーション）の活用
最近のAWSなどでは、インスタンスを「休止（Hibernate）」状態にする機能があります。これを使うと、メモリの内容をディスクに書き出した状態で停止してくれます。この「書き出されたファイル」を後で回収すれば、ログインせずにメモリが手に入ります。
② スナップショット技術
ディスクの状態を丸ごと保存するスナップショットですが、一部のクラウドサービスや仮想化プラットフォームでは「メモリの状態を含めたスナップショット」をサポートしています。
—
4. 実践！AWSでメモリ取得を自動化する考え方
新人のIT担当者の方が、もし「侵害の疑いがある！」と報告を受けたら、パニックになってサーバーを再起動してはいけません。まずは落ち着いて、「証拠を保全するための自動化スクリプト」を走らせるのが理想です。
ここでは、AWSの「Systems Manager (SSM)」という機能を使って、サーバーに直接ログインせずにメモリ取得ツール（例：LiMEやAVML）を送り込み、取得したデータをS3（倉庫）へ転送するイメージをコードで見てみましょう。
# これはAWS CLIを使った、メモリ取得の自動化イメージです。
# サーバーに直接ログインせず、外側から「命令」を飛ばします。
# 1. 調査対象のインスタンスIDを指定
TARGET_INSTANCE_ID="i-0123456789abcdef0"
# 2. AWS SSMを使って、メモリ取得ツール（AVML等）を実行させる命令を出す
# 直接SSHせず、管理経路（API）経由で実行するのがポイント！
aws ssm send-command \
--instance-ids "$TARGET_INSTANCE_ID" \
--document-name "AWS-RunShellScript" \
--comment "メモリイメージを取得してS3に転送します" \
--parameters '{
"commands": [
"# 1. メモリ取得ツール（AVML）をダウンロード",
"curl -L -o /tmp/avml https://github.com/microsoft/avml/releases/download/v0.11.0/avml",
"chmod +x /tmp/avml",
"# 2. メモリイメージの作成（現在の机の状態をまるごとファイル化）",
"/tmp/avml /tmp/mem_dump.raw",
"# 3. 安全な倉庫（S3バケット）へ転送",
"aws s3 cp /tmp/mem_dump.raw s3://my-forensics-evidence-bucket/case-001/$(hostname)_mem.raw",
"# 4. 後片付け（痕跡を最小限にする）",
"rm /tmp/avml /tmp/mem_dump.raw"
]
}' \
--region ap-northeast-1
echo "メモリ取得命令を送信しました。S3バケットを確認してください。"この設定のポイント
- 非対話的実行:
aws ssm send-commandを使うことで、管理者がサーバーにログイン（SSH）する必要がありません。ログインすると「誰がいつ入ったか」という履歴が残り、調査のノイズになります。 - AVMLの活用: Microsoftが公開している
AVMLというツールは、非常に軽量でOSへの影響が少ないため、現場で重宝されます。 - S3への即時転送: 取得した巨大なメモリデータ（数GB〜数十GB）をサーバー内に残すとディスクを圧迫するため、すぐに外部のストレージ（S3）へ逃がします。
—
5. 最後に：一歩ずつ対策を学んでいきましょう！
メモリフォレンジックは、確かに高度な技術です。でも、その本質は「泥棒が暴れている最中の部屋を、いかに静かに、正確に記録するか」という非常にシンプルな目的のためにあります。
皆さんが今日からできる第一歩は、「もしもの時、慌ててサーバーの電源を切らない（再起動しない）」というルールをチームで共有することです。
「あ、怪しいな」と思ったら、まずはクラウドのAPIを使って、外側からそっと証拠を保存する。この感覚を身につけるだけでも、皆さんの会社のセキュリティレベルは格段に上がります。
サイバーセキュリティの世界は奥が深いですが、一つひとつの仕組みを「家の防犯」に置き換えて考えれば、決して魔法ではありません。これからも一緒に、一歩ずつ学んでいきましょうね！
—
執筆者：DFIRスペシャリスト / セキュリティバイブル主筆
現場の泥臭い調査から、最新のクラウドセキュリティまで。技術の裏側にある「人間味」を大切に発信しています。
コメント