こんにちは！日々の開発やインフラの管理、本当にお疲れ様です。
いきなりですが、皆さんは「Linuxサーバーのセキュリティ」と聞いて、どんな対策を思い浮かべますか？「パスワードを複雑にする」「不要なポートを塞ぐ」といった対策は、きっと真っ先に思い浮かぶはずです。
でも、もし「OSの奥深くまで侵入され、まるで透明人間のように姿をくらました悪者」がいたら、どうでしょうか？通常のコマンド（psコマンドなど）でいくら探しても姿が見えない。そんな最悪のシナリオに直面したとき、私たちを救ってくれるのが「メモリフォレンジック」という技術です。
今回は、初心者の方にもすんなり理解していただけるよう、身近な例えを交えながら、最新の解析ツール Volatility 3 を使ったLinuxカーネルの深部探索の世界へご案内しますね！
—
1. 例え話：家の中に潜む「透明人間」を見つけ出す方法
セキュリティ対策を、私たちの「自宅の防犯」に例えてみましょう。
- 通常のログ監視やコマンド（
psなど）： 玄関の防犯カメラや、リビングの足跡をチェックするようなものです。通常なら泥棒が入ってきたらすぐに分かりますよね。 - 悪意あるカーネルモジュール（Rootkit）や隠蔽プロセス： しかし、もし泥棒が「透明マント」をかぶって家に入ってきたらどうでしょう？リビングを歩いていても、カメラには映りませんし、足音も聞こえません。
Linuxサーバーが高度なサイバー攻撃を受けると、まさにこの「透明マント」を使った状態にされてしまいます。OSの心臓部である「カーネル（Kernel）」を書き換えられ、OS自身に「今、変な奴はいないよ」と嘘をつかされてしまうのです。
こんなとき、いくら表面的なコマンドを実行しても、泥棒は見つかりません。では、どうすればいいのでしょうか？
それは、「家全体の写真を上空から特殊なカメラでパシャリと撮影し、その場で床の感触や家具の配置を徹底的に調べ上げる」ことです。この「写真撮影」こそが、サーバーのメモリ（RAM）を丸ごとファイルとして保存する「メモリダンプ」であり、「徹底的な分析」が今回解説する「メモリフォレンジック」になります。
—
2. Volatility 3 とは？ そして「シンボルテーブル」の秘密
メモリフォレンジックを行うためのデファクトスタンダード（事実上の標準）ツールが、Volatility 3 です。
メモリの中身は、人間が見ると「1」と「0」の巨大な数字の羅列で、まるで暗号のようです。どこに何が書いてあるのかサっぱり分かりません。そこで Volatility 3 の出番です。このツールは、メモリという巨大な迷宮の中を案内してくれる、超優秀な探偵のような存在です。
ここで一つ、重要なキーワードがあります。それが「シンボルテーブル（Symbol Table）」です。
シンボルテーブルってなに？
外国語の本を読むとき、私たちには「辞書」が必要ですよね。Linuxのカーネルは、バージョンやビルド方法によって、内部のデータ構造（変数の場所や名前）が微妙に違います。
「このバージョンのLinuxでは、プロセスの名前は先頭から何番目の場所にあるよ」というのを教えてくれる専用の辞書が、Volatilityにとってのシンボルテーブルなのです。
この辞書があるおかげで、ツールはメモリの海から正確に情報を引き出すことができます。
—
3. 実践！隠されたプロセスとカーネルモジュールの見つけ方
それでは、実際に Volatility 3 を使って、メモリの中に隠された悪意ある存在を暴き出す手順を見ていきましょう。
一歩ずつ、コマンドの意味を確認しながら進めれば難しくありませんよ！
ステップ1: 環境の準備とシンボルファイルの確認
まずは解析用マシンに Volatility 3 がインストールされている前提で進めます。Linuxのメモリを解析するためには、対象サーバーのカーネルに合わせたシンボルファイル（通常は .json.xz 形式）を用意し、適切なディレクトリに配置しておく必要があります。
ステップ2: 隠しプロセスの検出（linux.pslist vs linux.psscan）
Linuxでプロセス（動いているプログラム）を管理しているデータ構造を、専門用語で task_struct と呼びます。通常、ps コマンドはこの task_struct のリストを順番にたどって画面に表示します。
しかし、Rootkit（悪意あるプログラム）は、このリストから自分の名前をこっそり外してしまいます（これをプロセスアンカリングやunlinkと呼びます）。表向きのリストからは消えますが、メモリのどこかには実体が残っています。
ここで、以下の2つのコマンドを使い分けて真実を暴きます。
# 1. 通常のリスト（OSが「見せている」プロセスの一覧）を表示
python3 vol.py -f memory_dump.raw linux.pslist
# 2. メモリ全体をしらみつぶしにスキャンして、隠されたプロセスを探す
python3 vol.py -f memory_dump.raw linux.psscan【ここがポイント！】
linux.pslist の結果には出てこないのに、linux.psscan の結果にはぽっこりと現れるプロセスがあった場合……それはもう「黒（悪意ある隠蔽プロセス）」の可能性が極めて高いと言えます。泥棒が隠れ家で息を潜めている瞬間を捉えた瞬間です。
ステップ3: 怪しいカーネルモジュールの特定（linux.moddump）
プロセスだけでなく、攻撃者はLinuxの拡張機能である「カーネルモジュール（Windowsでいうドライバのようなもの）」に悪意あるコードを隠すことがあります。これをLKM（Loadable Kernel Module）Rootkitと呼びます。
ロードされているモジュールの一覧と、怪しいものを抽出するコマンドは以下の通りです。
# 現在ロードされているカーネルモジュールの一覧を表示
python3 vol.py -f memory_dump.raw linux.lsmod
# 気になるモジュールをディスク上に抽出して、後で静的解析（逆アセンブラ等）に回す
python3 vol.py -f memory_dump.raw linux.moddump --base=0xffffffffc0000000 --output-dir=./extracted_modules/- コード解説：
-f memory_dump.raw: 調査対象となるサーバーのメモリダンプファイルを指定しています。linux.lsmod: カーネル空間に組み込まれているモジュールの一覧（modulesリスト）をスキャンします。--base: 抽出したいモジュールのメモリアドレス（ベースアドレス）を指定します。
抽出したモジュールを Ghidra や IDA Pro といった解析ツールに放り込み、不審な通信をしていないか、パスワードを盗む仕組みが入っていないかをさらに深く調べ上げていきます。これがプロのインシデントレスポンスの現場で行われているアプローチです。
—
4. まとめと私たちにできること
今回は、Volatility 3 を用いたLinuxカーネルオブジェクトの抽出と解析について、透明人間の例えを交えながら解説しました。
- メモリフォレンジックは、OSの心臓部であるメモリを直接覗き見し、表面的な偽装を見破る強力な武器であること。
Volatility 3を使えば、通常のコマンドでは消されてしまったプロセス（linux.psscan）や、怪しいカーネルモジュール（linux.lsmod）をあぶり出せること。- 正確な解析には、対象の環境に合わせたシンボルテーブルが不可欠であること。
セキュリティの世界は広大で、最初は難しい用語の壁に圧倒されてしまうかもしれません。でも、「システム内部の仕組みを正しく知る」という好奇心を持ち続ければ、どんな巧妙な隠蔽工作も必ず見破れるようになります。
インシデントはいつ何時起きるか分かりませんが、こうした地道な知識とツールの使い方の引き出しを少しずつ増やしていくことで、いざという時に会社やシステムを守る頼れる存在になれます。
一歩ずつ、確実にスキルアップしていきましょう！次の解説もお楽しみに！
コメント