【入門編】仮想マシン(VM)スナップショットを用いたメモリフォレンジック – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

泥棒が「家」を出る前に捕まえろ！仮想マシンのメモリフォレンジック入門

こんにちは！SOCアナリストの現場からお届けします。

皆さんは「デジタルフォレンジック」という言葉を聞いて、何を想像しますか？映画に出てくるようなハッカーの画面や、真っ黒な背景に流れる文字列…そんなイメージかもしれませんね。でも、実際の現場はもっと泥臭くて、そしてパズルのピースを埋めていくような、非常に人間味のある作業なんです。

今日は、皆さんが普段触れている「仮想マシン（VM）」を使って、「犯人が足跡を消す前に、その場にいた証拠を丸ごと保存する」という、ちょっとスリリングな技術についてお話しします。

—

1. なぜ「メモリ」が重要なのか？

想像してみてください。あなたは今、泥棒が侵入した家の玄関に立っています。
泥棒は家の中にいて、まだ証拠を隠したり、玄関の鍵を閉め直したりしている最中です。

ハードディスク（HDD/SSD）の解析： 泥棒が逃げた後に、クローゼットの中身を調べる作業です。証拠は残っていますが、計画的な泥棒は証拠を綺麗に消し去っているかもしれません。
メモリ（RAM）の解析： 泥棒がまさに今、何をしていて、どの引き出しを開け、どんな道具（マルウェアなど）を使っているのかを、「覗き穴」からリアルタイムで観察する作業です。

メモリの中には、実行中のプログラム、入力したパスワード、ネットワーク接続先など、犯人の「生の声」が詰まっています。これを捕まえるのが、私たちの仕事です。

—

2. 仮想マシンは「魔法の小箱」

物理的なサーバーの場合、メモリダンプを採取するには専用のツールをインストールしたり、OSの挙動を変えたりと、リスクが伴います。

しかし、ESXiやHyper-V上の仮想マシンなら話は別です。
仮想マシンには「スナップショット」という機能がありますよね。実は、このスナップショットを作成した瞬間に生成される .vmem（VMware）や .bin（Hyper-V）といったファイルは、そのままメモリのダンプファイルとして使えてしまうのです。

つまり、攻撃者に気づかれることなく、物理的にサーバーの電源を抜く必要もなく、一瞬で「現場のコピー」が手に入るわけです。これを使わない手はありません。

—

3. 実践！メモリ解析への第一歩

では、手に入れたファイルをどう解析するのか。業界標準のツールである Volatility（ボラティリティ）を使ってみましょう。

手順1：ファイルを準備する

仮想マシンのフォルダ内に、拡張子が .vmem のファイルがありますか？それが「メモリの塊」です。これを安全な解析用ワークステーションにコピーしてください。

手順2：解析コマンドを叩く

Volatilityはコマンドラインツールです。例えば、「このメモリの中で、今どんなプロセスが動いているか」を調べるには、以下のようにコマンドを入力します。

# Volatility 3を使用して、プロセスの一覧を表示する例
# -f でメモリファイルを指定し、windows.pslistプラグインでプロセスを表示します
python3 vol.py -f memory_snapshot.vmem windows.pslist

このコマンドを打つと、実行中のプログラムがずらりと表示されます。もし、普段見慣れない怪しい名前のファイル（例: svchost.exe のスペルミスや、ランダムな英数字の実行ファイル）があれば、それが泥棒の正体です。

—

4. 攻撃者が狙う「盲点」と対策

攻撃者は、自分の存在を隠すために、正規のプロセスの中に自分のプログラムを紛れ込ませる「インジェクション」という手法をよく使います。

対策として、以下のポイントを確認してみてください。

不自然なネットワーク接続： 外部の怪しいIPアドレスと通信しているプロセスはありませんか？
権限の異常： 一般ユーザー権限で動いているはずのプロセスが、システム権限を奪っていませんか？

もし怪しいプロセスを見つけたら、その「PID（プロセスID）」を記録し、さらに詳しく調査します。

# 特定のPID（例えば1234）のメモリ構造を抽出するコマンド
python3 vol.py -f memory_snapshot.vmem windows.memmap --pid 1234 --dump

こうして抽出したバイナリファイルを、ウイルス対策ソフトの解析エンジン（VirusTotalなど）にかければ、それがどんな悪さをするツールなのかが判明します。

—

最後に：一歩ずつ学んでいきましょう！

「なんだか難しそう…」と感じた方もいるかもしれません。でも、大丈夫です。最初は「いつもと違うプロセスがいないかな？」と眺めるだけで十分な第一歩になります。

1. 仮想マシンのスナップショットを撮る練習をする
2. Volatilityでプロセス一覧を眺めてみる
3. 「これ、なんだろう？」と疑問に思う習慣をつける

この3つを繰り返すだけで、あなたのセキュリティに対する目は、プロのアナリストに一歩ずつ近づいていきます。

デジタルフォレンジックは、まるで迷宮入りしそうな事件を解決する探偵のような仕事です。皆さんが構築するシステムが、より堅牢で、万が一の際にも迅速に守れるものになるよう、これからも一緒に学んでいきましょうね！

何か分からないことがあれば、いつでもまた聞きに来てください。現場からは以上です！