こんにちは！日々の開発やインフラの管理、本当にお疲れ様です。
いきなりですが、皆さんのご自宅の防犯について少し想像してみてください。夜中にピッキングで玄関の鍵をこじ開けられ、リビングを荒らされたとします。警察や探偵がやってきたとき、彼らはどうやって犯人の足取りを追うでしょうか？
「何時何分に窓ガラスが割られた音を聞いたか」「廊下の足跡はどちらに向かっていたか」「リビングのテーブルから何が持ち去られたか」。これらバラバラの痕跡をパズルのように組み合わせ、犯人が侵入してから逃げるまでのストーリーを完璧に復元していきますよね。
実は、サイバーセキュリティの世界でも全く同じことが行われています。それが今回お話しする「メモリフォレンジックにおけるタイムライン分析とイベント相関」という技術です。
少し難しそうな名前ですが、一歩ずつ優しく紐解いていきますので、ぜひリラックスして読み進めてくださいね！
—
そもそも「メモリフォレンジック」って何？
パソコンやサーバーの電源を切ると、消えてしまう一時的な記憶領域（RAM：ラム）があります。これを私たちは「メモリ」と呼んでいます。
メモリは、いわば「今まさにパソコンの中で起きていることのライブ映像」です。
ハードディスクやSSD（長期保存用の倉庫のような場所）とは違い、メモリには以下のような「生きた証拠」がリアルタイムで詰まっています。
- 今まさに動いているプログラム（プロセス）
- 外部の怪しいサーバーと繋がっている通信の記録
- 秘密裏に読み書きされたファイルの痕跡
泥棒が家に入ってきて、タンスをあさっているその瞬間の「手の動き」を写真に収めるようなものです。電源を切ってしまうとこの写真はすべて消えてしまうため、電源が入った状態のままメモリをまるごとファイルとして保存する（これをメモリダンプと言います）のが、インシデントレスポンスの第一歩になります。
—
なぜ「タイムライン分析」と「イベント相関」が必要なの？
さて、無事にメモリダンプという「証拠写真」が手に入りました。でも、ここからがアナリストの腕の見せ所です。
メモリの中には、数万件ものイベント（出来事）がバラバラの状態で記録されています。「プロセスAが動いた」「ファイルBが開かれた」「ネットワークCに接続した」……。これらをただ単に箇条書きで眺めていても、いつ、誰が、どうやって侵入してきたのかは見えてきません。
ここで登場するのが「タイムライン分析」と「イベント相関」です。
1. タイムライン分析（時間のパズルを合わせる）
抽出したすべてのイベントに「タイムスタンプ（時刻）」を付与し、発生した順番通りに一本のタイムライン（年表）として並べ替える作業です。「あ、このプロセスの直後に、怪しいファイルが作られているぞ」という時間的な前後の関係がハッキリと見えてきます。
2. イベント相関（点と点を線で結ぶ）
バラバラに起きたように見える出来事を結びつける作業です。例えば、「深夜2時に怪しい海外のIPアドレスから通信があった（ネットワーク）」＋「その直後に見慣れない黒い画面のプログラムが起動した（プロセス）」＋「重要なパスワードファイルが外部に送信された（ファイルアクセス）」。これらを関連付けることで、「あ、外部から侵入されてデータを盗まれたんだな」という一つの事件としてストーリーが完成します。
—
実践！Pythonを使った簡易イベント相関スクリプト
「理屈は分かったけれど、現場ではどうやってこの相関をやっているの？」という方のために、Pythonを使ってバラバラのログ（イベント）の時刻を揃え、時系列に並べ替えるシンプルなサンプルコードを用意しました。
実際の現場では Volatility などの専用ツールを使いますが、その裏側で何が行われているのかをイメージするのにぴったりなコードです。
from datetime import datetime
# 1. メモリフォレンジックツールから抽出したと仮定したバラバラのイベントログ
# （実際にはプロセス生成、ネットワーク接続、ファイルアクセスが混ざっています）
raw_events = [
{"timestamp": "202X-10-01 03:15:22", "type": "ネットワーク接続", "detail": "怪しい外部IP (198.51.100.42) と接続確立"},
{"timestamp": "202X-10-01 03:10:05", "type": "ファイルアクセス", "detail": "機密ファイル (secret.zip) が読み込まれた"},
{"timestamp": "202X-10-01 03:10:00", "type": "プロセス生成", "detail": "見慣れない実行ファイル (malware.exe) が起動"},
]
def analyze_timeline(events):
"""
受け取ったイベントのリストをタイムスタンプ順にソートし、
攻撃のストーリー（時系列）として出力する関数です。
"""
print("=== インシデント発生タイムラインの再構築を開始します ==-\n")
# タイムスタンプ文字列をdatetimeオブジェクトに変換して、古い順に並べ替える
sorted_events = sorted(
events,
key=lambda x: datetime.strptime(x["timestamp"], "%Y-%m-%d %H:%M:%S")
)
# 時系列順に整頓されたイベントを出力
for i, event in enumerate(sorted_events, 1):
print(f"[{i}] 時刻: {event['timestamp']}")
print(f" 種別: {event['type']}")
print(f" 内容: {event['detail']}")
print("-" * 40)
# スクリプトの実行
if __name__ == "__main__":
analyze_timeline(raw_events)このコードを実行すると、バラバラだったログが綺麗に整列し、「03:10:00に怪しいプログラムが動き、その5秒後にファイルが読まれ、03:15:22に外部へ持ち出された」という一連の流れが鮮明に浮かび上がりますよね。
—
現場のプロが教える「見落としがちな盲点」
最後に、現場で調査を行っていて新人アナリストがハマりがちな「盲点」について少しだけお話します。
「時刻のズレ」に気をつけよう
サーバーやPCの時計が、実は数分ずれていた……なんてことは日常茶飯事です。外部のログ（ファイアウォールやクラウドサービスのログなど）とメモリ上のタイムラインを突き合わせるとき、この「時計のズレ」を考慮しないと、事件の因果関係を盛大に勘違いしてしまいます。必ずタイムゾーン（JSTやUTCなど）の確認を癖にしましょう。
攻撃者は痕跡を隠そうとする
賢い攻撃者は、タイムラインを撹乱（かくらん）するために、ファイルのタイムスタンプを書き換えたり（タイムストッピング）、メモリ上の痕跡を消そうとしたりします。ひとつの証拠だけに頼るのではなく、「プロセスの親子関係」「ネットワークの接続状態」「ファイルのタイムスタンプ」の3つを常にクロスチェックする視点が大切です。
—
まとめ
いかがでしたでしょうか？
メモリフォレンジックにおけるタイムライン分析とイベント相関は、難解な暗号を解くような特別な魔法ではありません。「いつ、何が起きたのか」を地道に時系列で並べ、点と点を繋いでいく、非常に泥臭くもロマンのある捜査活動です。
最初は覚えることが多くて圧倒されてしまうかもしれませんが、「家に入った泥棒の足取りを追うんだ」という基本のイメージさえ持っていれば、どんなに複雑なインシデントにも必ず立ち向かえるようになります。
一歩ずつ、確実にスキルを身につけていきましょう！次回の解説もお楽しみに！
コメント