【入門編】カーネルモードルートキットのメモリ内検出：SSDTフックとIDT改ざんの特定 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

「家の鍵」をすり替える泥棒を見抜け！カーネルレベルの攻撃とメモリフォレンジックの基礎

こんにちは！現場で日々、システムの「健康診断」と「緊急オペ」を行っているSOCアナリストです。

今日は、セキュリティの世界でも特に「深淵」に近い場所、カーネルモードのお話をしましょう。システム開発をしていると「OSの奥深くに潜む脅威」という言葉を耳にしますが、具体的に何が起きているのかイメージしづらいですよね。

今回は、悪意あるプログラムがどのようにしてOSの命令系統を乗っ取るのか、そして我々DFIR（インシデントレスポンス）の専門家がどうやってそれを「メモリの海」から探し出すのかを、身近な例えで解説していきます。

—

1. カーネルモードとは何か？：家の「管理室」の話

まず、OSを一つの大きな「家」だと想像してください。

ユーザーモード（皆さん）: リビングやキッチン。自由に動けますが、家の構造を変えるような大掛かりなリフォームはできません。
カーネルモード（OSの心臓部）: 家の「管理室」。ここには家の設計図や、全ての部屋の鍵を管理するリストがあります。

もし泥棒がこの「管理室」に侵入し、鍵のリストを書き換えてしまったらどうなるでしょう？例えば、あなたが「玄関を開けて」と頼んだのに、泥棒が裏口へ誘導するようにリストを書き換えていたら……。泥棒は堂々と家の中を荒らし回り、しかも「何事もなかったかのように」振る舞い続けることができます。

これが、カーネルモードルートキットの正体です。

—

2. 攻撃のターゲット：SSDTとIDT

カーネルが外部からの命令を処理する際、必ず参照する「辞書」のようなものがあります。それが SSDT（System Service Descriptor Table） と IDT（Interrupt Descriptor Table） です。

SSDT（システムサービス記述子テーブル）

OSの機能（ファイルを開く、通信を開始するなど）を呼び出すための「関数番地リスト」です。攻撃者は、特定の関数（例：ファイル一覧を表示する機能）の行き先を、自分の悪意あるプログラムへ書き換えてしまいます。

結果: 攻撃者のファイルがフォルダにあっても、OSは「そんなファイルはありません」と嘘をつくようになります。

IDT（割り込み記述子テーブル）

ハードウェアやソフトウェアからの「割り込み（緊急の呼び出し）」に対応するテーブルです。例えばキーボードが叩かれたとき、OSに「キーが押されたぞ！」と伝えるための地図です。

結果: ここを改ざんされると、OSの反応そのものが乗っ取られ、パスワード入力の内容がすべて筒抜けになります。

—

3. メモリフォレンジックで「偽物」を暴く

では、どうやってこの「改ざん」を見つけるのでしょうか。ここで登場するのがメモリフォレンジックです。PCの電源を落とさず、メモリ（RAM）の状態を丸ごと吸い出して、その中身を解析します。

プロの現場では Volatility というツールを使うのが定番ですが、ここでは考え方を理解するために、もし皆さんがプログラムで「不正なフック」を検知するロジックを書くならどうなるか、疑似コードで見てみましょう。

# 概念的な検証スクリプト：SSDTの整合性チェック
# 本来あるべきメモリの領域と、現在の指し先を比較します

def check_ssdt_integrity(current_ssdt_address, expected_kernel_base):
    # 1. SSDTの本来の場所（OSの正規の場所）を取得
    # 2. 各エントリ（関数の番地）がカーネルの範囲内にあるかを確認
    
    for entry in current_ssdt_address:
        if not is_within_kernel_memory(entry, expected_kernel_base):
            # もし指し先がカーネル外（怪しいドライバの領域など）なら警告！
            print(f"[!] 警告: 関数番地 {entry} がカーネル領域外を指しています。ルートキットの疑いあり！")
            return False
            
    print("[+] SSDTの整合性は正常です。")
    return True

実際には、Volatility を使えば、以下のようなコマンド一つで怪しいフックを洗い出すことができます。

# 現場で使うコマンド例（Volatility 3を使用）
# windows.ssdt プラグインでSSDTの改ざんを確認する
python3 vol.py -f memory_dump.raw windows.ssdt

—

4. 一歩ずつ対策を学んでいきましょう

「難しそうだな…」と感じた方も安心してください。まずは以下の3点を意識するだけで、セキュリティレベルはグッと上がります。

1. 「怪しいドライバ」を入れない: カーネルモードで動くドライバは、OSの心臓部に触れる権利を持っています。信頼できない署名のないドライバは、まさに「泥棒に家の鍵を渡すようなもの」です。
2. EDR（Endpoint Detection and Response）の導入: 最近のセキュリティ製品は、こうしたメモリ上の異常な挙動をリアルタイムで検知してくれます。
3. OSとパッチの最新化: 多くのルートキットは、OSの脆弱性を突いてカーネル権限を奪います。アップデートは「鍵の強化」です。

—

最後に：泥棒を知れば、防犯はもっと強くなる

カーネルレベルの攻撃は、非常に巧妙で隠蔽能力も高いですが、「メモリ上に痕跡を一切残さない」ことは物理的に不可能です。どれだけ上手い泥棒でも、必ずどこかで足跡を残します。

メモリフォレンジックは、その「足跡」を見つけるための強力なレンズです。皆さんが開発するアプリケーションや守るべきシステムが、この「管理室」の安全を維持できるよう、これからも一緒に学んでいきましょう。

何か不明な点や、「ここをもっと深く知りたい！」ということがあれば、いつでもコメント欄で教えてくださいね。現場の知見を交えて解説します！