【テクニカル・上級編】メモリ上のコマンド履歴（cmd.exe, powershell.exe）の復元 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

メモリフォレンジックの深淵：コンソール履歴が語る「攻撃者の足跡」

インシデントレスポンスの現場において、攻撃者が実行した痕跡を追うことは、まさに泥沼の中で黄金を見つける作業に似ている。ログが消去され、ツールが削除された後、最後に頼れるのは物理メモリ（RAM）という名の「最後の証拠」だけだ。

特に、攻撃者が cmd.exe や powershell.exe を通じてシステム内部で繰り広げるコマンドライン操作は、彼らの意図を最も雄弁に物語る。今回は、攻撃者が隠蔽を試みようとも、メモリの深層に刻まれる「コンソール履歴の断片」をどのように引き剥がすか、その技術的核心に迫る。

メモリ上のコンソールバッファ：構造の解剖

Windowsにおいて、コンソールプロセス（conhost.exe）は、対話型シェルの入出力を管理するホストプロセスだ。攻撃者が PowerShell で難読化されたスクリプトを打ち込む際、その文字列は単なるメモリ領域のランダムなデータではなく、特定の構造体としてコンソールバッファに保持される。

重要なのは、conhost.exe のメモリ空間内に存在する HISTORY_BUFFER だ。ここには過去に実行されたコマンドがリングバッファ形式で格納されている。攻撃者が Clear-History や Remove-Item (Get-PSReadlineOption).HistorySavePath を実行して「痕跡を消した」と確信していても、メモリ上に展開されたヒープ領域には、解放されていない過去の実行ログが残存している可能性が極めて高い。

Volatility 3 による「コマンド履歴」の抽出

現代のメモリフォレンジックにおいて、Volatility 3 は必須のツールである。しかし、単に windows.cmdline プラグインを叩くだけでは、プロセス起動時の引数しか見えない。我々が知りたいのは、セッションの途中で実行された動的なコマンド履歴だ。

これを掘り起こすには、conhost.exe のメモリヒープをターゲットにする必要がある。以下に、特定のプロセスからコンソール履歴を抽出するためのアプローチを示す。

1. コンソールプロセスの特定とダンプ

まず、ターゲットとなる conhost.exe の PID を特定する。

# プロセスリストからconhost.exeと紐付く親プロセス（cmd/powershell）を特定
python3 vol.py -f memory.dmp windows.pstree

2. ヒープ領域の解析（技術的アプローチ）

conhost.exe のメモリ領域をダンプし、strings コマンドで Unicode（UTF-16LE）文字列を抽出する際、単なる抽出ではノイズに埋もれる。ここで重要なのは、コンソールバッファの構造を意識した検索だ。

# ダンプしたメモリから、PowerShell特有のコマンド文字列を抽出
# 日本語環境や特殊文字が含まれる可能性を考慮し、エンコーディングを明示する
strings -e l memory.dmp | grep -E "Invoke-Expression|IEX|Net.WebClient|DownloadString" > command_history.txt

攻撃者の盲点を突く：防御側が知るべき「メモリの残滓」

攻撃者がいかに巧妙であっても、メモリの物理的な特性（データの揮発性と上書きの遅延）を利用することで、彼らの「隠蔽」は無効化できる。

防御アーキテクチャへの反映

この知見を単なる調査手法で終わらせてはならない。チーフホワイトハッカーの視点から言えば、これは「防御の可観測性」をどう担保するかという設計課題に帰結する。

1. AMSI (Antimalware Scan Interface) の限界を理解する
AMSI は、スクリプト実行直前の「デコードされた状態」をフックするが、メモリ内のコマンド履歴までは保護対象としない。防御側は、EDRのログだけに頼らず、定期的かつランダムなメモリサンプリングを監査基準に組み込むべきだ。
2. 生成AIを用いたプロンプトインジェクションの検知
現在、LLMをバックエンドに持つ管理ツールが普及している。攻撃者がこのLLMに対してプロンプトインジェクションを試みた場合、その「悪意あるクエリ」は一時的にメモリ上のバッファへ書き込まれる。このメモリ領域を動的に監視し、特定の構文パターンを検出する「メモリ層のガードレイル」を実装することが、これからのセキュリティアーキテクトの使命である。

結びに代えて：泥臭い解析の先にあるもの

メモリフォレンジックは、デジタルな世界における「指紋採取」だ。どれだけ高度な難読化技術を用いても、CPUが処理し、RAMが記憶するプロセスにおいて、その「動き」を完全に消し去ることは物理法則上不可能に近い。

攻撃者のコマンド履歴を復元する作業は、単なる事後調査ではない。それは、次なる攻撃の予兆を捉え、防御側のアーキテクチャをアップデートするための貴重なデータソースなのだ。教科書的なマニュアルを読み終えた後、次にあなたがやるべきことは、実際のメモリダンプと向き合い、その中に潜む「攻撃者の息遣い」を読み解くことである。

静寂なメモリの海に投げ込まれた一行のコマンド。それこそが、勝敗を分ける鍵となる。