【実務・中級編】 PCAPデータにおけるTLSハンドシェイクの復号とセッションキー抽出 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

現場の暗闇を照らす：メモリフォレンジックで紐解くC2通信の正体

現場でインシデント対応をしていると、「パケットキャプチャ（PCAP）を取ったはいいが、中身が全部TLSで暗号化されていて何も見えない」という絶望的な状況に何度も遭遇する。攻撃者は当然のようにHTTPSでC2（コマンド＆コントロール）通信を行い、エンドポイントのセキュリティ製品をすり抜けるために巧妙な手口を仕掛けてくる。

しかし、攻撃者がどれだけ強固な暗号化を施そうと、「通信を行うその瞬間、メモリ上ではプレーンテキスト（またはセッションキー）が必要になる」という物理法則からは逃れられない。今日は、メモリダンプからセッションキーを抽出し、漆黒のTLS通信を可視化する「泥臭いが確実な」手法について話そう。

—

1. なぜ「TLS復号」がインシデントレスポンスの切り札なのか

攻撃者が使うマルウェアは、多くの場合、標準的なライブラリ（WinINetやOpenSSL）を悪用する。このとき、TLSハンドシェイクで使われる「マスターシークレット」がメモリ上に残る。これさえ手に入れば、Wiresharkが自動的に復号してくれる。

もし君が現場で「怪しい通信があるが、ペイロードが解析できない」という壁にぶつかったら、即座にメモリダンプを取得すべきだ。VolatilityやRekallを使って、そのプロセスが保持しているキーを掘り起こす。これができれば、攻撃者が何を盗もうとしているのか、どんなコマンドを送り込んでいるのかが手に取るようにわかる。

—

2. 実践：SSLKEYLOGFILEの抽出と復号

メモリダンプから SSLKEYLOGFILE 形式のキーを抽出するには、Volatilityの windows.memmap プラグインなどでプロセスメモリをダンプし、そこから CLIENT_RANDOM を含む文字列をgrepするのが定石だ。

抽出したキーをWiresharkに読み込ませる設定は以下の通りだ。

1. Wiresharkの [編集] -> [設定] を開く。
2. [Protocols] -> [TLS] (または古いバージョンなら [SSL]) を選択。
3. (Pre)-Master-Secret log filename に、抽出したキーファイルを指定する。

これで、これまで「Application Data」としか表示されていなかったパケットが、HTTPのGETやPOST、JSONデータとして見えるようになるはずだ。

—

3. 防御の要：C2通信を許さないための「セキュアな設計」

そもそも論だが、C2通信を復号しなければならない状況を減らすのがプロの仕事だ。攻撃者は「正規の通信に紛れ込ませる」ことを狙う。これを防ぐための実装例をいくつか紹介する。

NginxでのTLS 1.3への強制とHSTS設定

古いTLSバージョンは脆弱性があり、復号や中間者攻撃の標的になりやすい。以下の設定でモダンな暗号化のみを許可する。

# Nginx設定ファイル: /etc/nginx/conf.d/security.conf
server {
    listen 443 ssl;
    # 古いTLSを排除し、TLS 1.3のみを強制
    ssl_protocols TLSv1.3;
    ssl_prefer_server_ciphers on;

    # HSTSを有効化し、ブラウザにHTTPS通信を強制させる
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    
    # 信頼できる証明書のみを許可
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
}

PythonによるAPI通信の証明書ピンニング

アプリケーション側で通信先を固定（ピンニング）してしまえば、万が一メモリダンプを取られても、中間者攻撃や不審なC2への接続を検知しやすくなる。

import requests
import ssl

def secure_request(url):
    # 特定の証明書のみを信頼するセッションを作成
    session = requests.Session()
    # verifyにはサーバーの公開鍵証明書を指定する
    response = session.get(url, verify='/path/to/pinned_cert.pem')
    return response.json()

# 攻撃者がプロキシを挟もうとしても証明書が一致せずエラーになる
try:
    data = secure_request("https://api.myapp.com/data")
    print(data)
except requests.exceptions.SSLError:
    # ここでアラートをログに吐き出し、SIEMへ飛ばすのが鉄則
    print("アラート: セキュリティ侵害の兆候！不正な証明書を検知")

—

4. チーフエンジニアからのアドバイス

「ツールを使えば解決する」と思っているうちは、まだ半人前だ。真の脅威は、「メモリダンプ自体を改ざんする」あるいは「通信内容を暗号化する前に、別のプロセスにフックしてデータを盗む」といった、OSの深淵を突く攻撃だ。

ログの整合性: SSLKEYLOGFILE を悪用されないよう、本番環境のサーバーでは環境変数の設定を厳格に管理すること。
EDRの活用: 通信の復号を待つのではなく、プロセス生成の親プロセスを監視するEDRを導入し、異常なネットワーク接続が始まった瞬間にプロセスをキルする自動化を組むべきだ。

技術は常に進化するが、攻撃者の目的は変わらない。「いかに目立たず、長く潜伏するか」だ。君たちが構築するシステムが、彼らにとって「あまりに高コストで、足がつきやすい」場所になるよう、設計の段階からセキュリティを組み込んでいってほしい。

何かあれば、いつでも相談してくれ。現場の泥をかぶる覚悟があるエンジニアを、私はいつでも歓迎する。