こんにちは！セキュリティの世界へようこそ。インシデントレスポンスやデジタルフォレンジックの世界では、日々巧妙化するサイバー攻撃との知恵比べが繰り広げられています。
今回は、最近のクラウドインフラで主流となっている「コンテナ」の中身、それもメモリ（RAM）という非常に深い領域で行われているファイルレス攻撃と、その検知の仕組みについてお話ししていきます。
「コンテナのメモリなんて、難しそう……」と思われるかもしれませんが、大丈夫です！身近な例えを交えながら、一歩ずつ分かりやすく紐解いていきましょう。
—
1. コンテナのメモリと「ファイルレス攻撃」を身近な例えで理解しよう
まずは、コンテナとメモリの関係を私たちの身の回りの空間に例えてみましょう。
家の鍵（ファイル）と、リビングのホワイトボード（メモリ）
従来のサイバー攻撃は、いわば「合鍵（マルウェアのファイル）をこっそり作って、家のポストや引き出しに隠しておく」ようなやり方でした。これなら、警察（セキュリティソフト）が家宅捜索をすれば、隠された合鍵をすぐに見つけて押収できますよね。
しかし、最近の賢い泥棒（ファイルレス攻撃者）は、合鍵を一切持ち込みません。
彼らは家の中に侵入すると、リビングにあるホワイトボード（メモリ）に直接、必要な暗号や指示をサラサラと書き込み、その場で実行してしまうのです。そして、警察が踏み込んできたときには、ホワイトボードを綺麗に消してしまい、証拠を一切残しません。
これが「ファイルレス攻撃」の正体です。コンテナという軽量な仮想空間の中でも、このホワイトボードへの書き込みと実行が日々行われています。
—
2. なぜコンテナのメモリフォレンジックは難しいのか？
通常の物理サーバーや仮想マシンであれば、怪しい挙動を検知したときにOS全体をシャットダウンせずにメモリのダンプ（スナップショット）を取る専用ツール（LiMEやVolatilityなど）を動かすことができます。
しかし、コンテナには特有の難しさがあります。
- ホストとの共有: コンテナは、下敷きにあるホストOSのカーネルを他のコンテナと共有しています。そのため、コンテナ単体のメモリ空間をきれいに切り出して観察するのが技術的に少し厄介なのです。
- 儚さ（エフェメラル性）: コンテナは「使い捨て」が基本です。怪しい動きを検知して「ちょっと詳しく調べよう」と思った瞬間には、コンテナ自体が削除されて消えてなくなっている……なんてことが日常茶飯事です。
だからこそ、コンテナが生きているその瞬間に、メモリ上の異常なシグネチャやヒューリスティック（振る舞い）をキャッチする仕組みが必要になります。
—
3. シグネチャ検知とヒューリスティック解析の仕組み
メモリ上で悪さをしている不審者をどう見つけるのでしょうか？ここでは2つのアプローチを使います。
① シグネチャ検知：指名手配書の顔写真でチェック
これは非常にシンプルです。「過去に発見された悪意あるコードの断片（パターン）」をあらかじめ登録しておき、メモリ上に一致するデータがないかスキャンする方法です。
例えるなら、駅の改札に「指名手配書の顔写真」を貼っておき、該当する人が通ったらアラートを鳴らす仕組みですね。確実性は高いですが、新しい顔（未知の攻撃）には太刀打ちできない弱点があります。
② ヒューリスティック解析：不審な行動パターンを検知
一方、未知の攻撃を見つけるために使われるのがヒューリスティック解析です。ここでは、メモリの「割り当て方」や「権限」に着目します。
通常、プログラムが動くメモリ領域には、それぞれ明確な役割があります。
- 「ここは読むだけでいいよ（Read）」
- 「ここはデータを書き換えてもいいよ（Write）」
- 「ここはプログラムを実行していいよ（Execute）」
しかし、メモリ上でこっそり動くマルウェアは、自分自身のコードを書き換えながら動きたがるため、よく RWX（Read / Write / Executeのすべてが許可された状態）という「何でもできてしまう危険なメモリ領域」を勝手に作ろうとします。
これは、例えるなら「美術館の中で、誰でも自由に展示品を持ち出して壁に落書きしていいエリアを作る」ようなもの。警備員から見れば「絶対にそんな場所があってはいけない！」とすぐに分かる不自然な挙動です。この不自然なメモリ割り当てパターンを見つけ出すのが、ヒューリスティック解析の役割です。
—
4. 実務で使える！コンテナランタイムの異常検知設定例
では、実際のインフラ構築や運用において、こうした異常なメモリ割り当てやファイルレス攻撃の兆候をどうブロック・検知すればよいでしょうか。
現代のKubernetes環境などでは、セキュリティツール（例えば Falco など）を使って、コンテナ内での不審なシステムコールやメモリ操作を監視するのが一般的です。
以下に、コンテナのセキュリティルールを定義する設定ファイルのサンプルをご紹介します。日本語のコメントを参考に、実務でのイメージを膨らませてみてください。
# Falco等のセキュリティツールで利用するカスタムルールの例
- rule: Detect Suspicious Memory Execution in Container
desc: コンテナ内でメモリ上に直接コードを割り当てて実行しようとする不審な挙動を検知します
condition: >
evt.type = mprotect and
evt.dir=< and
container.id != host and
(fd.name contains "mem" or proc.aname contains "sh")
output: >
不審なメモリ保護変更を検知しました！
(ユーザー=%user.name コマンド=%proc.cmdline コンテナID=%container.id ターゲット=%fd.name)
priority: WARNING
tags: [container, memory_forensics, attack_technique]この設定のポイント
evt.type = mprotect: Linuxカーネルのmprotectというシステムコールを監視しています。これは「メモリのアクセス権限を変更する（例：書き込み禁止を書き込み許可にする）」ための命令で、ファイルレスマルウェアがメモリ上で自分を書き換えるときによく使われます。container.id != host: ホストOS自体の正当な処理を除外し、コンテナ内部で起きたイベントだけに絞り込んでいます。priority: WARNING: 開発や運用のチームへ即座に通知を飛ばし、早期のインシデントレスポンスにつなげます。
—
5. まとめと、私たちが取るべき第一歩
今回は、コンテナのメモリ内マルウェア検知について、ファイルレス攻撃のメカニズムやメモリの権限管理（ヒューリスティック解析）の視点から解説しました。
難解に思えるセキュリティの技術も、「誰が、どこで、どんな権限を持って動いているか」という基本に立ち返ると、私たちの身の回りの防犯の仕組みと何ら変わりません。
まずは、お使いのコンテナ環境でどのようなセキュリティツールが動いているかを確認し、今回ご紹介したような不審な挙動のログ（mprotect や RWX 領域の割り当てなど）に目を向けるところから始めてみましょう。
一歩ずつ、確実に対策の引き出しを増やしていけば、どんな巧妙な攻撃者に対しても冷静に対処できるスキルが身につきます。一緒に安全なシステムづくりを進めていきましょう！
コメント