【実務・中級編】メモリフォレンジックにおけるYARAルールの適用と自動化 – インシデントレスポンス & フォレンジック（DFIR）防御ガイド

メモリフォレンジックの自動化：YARAで「見えない脅威」を即座に狩る技術

現場でインシデント対応をしていると、よく「ログには何も出ていないのに、なぜか挙動がおかしい」という相談を受ける。ディスクのログが改ざんされている、あるいはファイルレスマルウェアがメモリ上で展開されているケースだ。

そんな時、我々が頼りにするのが「メモリフォレンジック」だ。だが、数GBから数十GBに及ぶメモリダンプを人力で解析するのは現実的ではない。今回は、YARAを用いたスキャンをパイプライン化し、メモリ内の脅威を「自動で炙り出す」ための実践的な手法を共有する。

—

なぜメモリフォレンジックにYARAなのか？

メモリフォレンジックの王道ツールであるVolatilityは強力だが、特定のプロセス構造を調べるには時間がかかる。一方、YARAはバイナリパターンマッチングの鬼だ。メモリダンプ全体に対してYARAを走らせれば、既知のマルウェアの断片、あるいは不審なAPIコール、シェルコードのシグネチャを秒速で見つけ出せる。

攻撃者は往々にして、メモリ上の「プロセスの生存確認」や「特権昇格後のペイロード展開」といったタイミングで、固有の文字列やバイト列を残す。これを自動化で捕捉できれば、初動のスピードが段違いになる。

—

Pythonによる自動スキャンパイプラインの構築

以下のコードは、Volatility3で抽出したメモリ空間、あるいはダンプファイルに対して、YARAルールを一括適用して検知を行うためのシンプルな自動化スクリプトだ。

import yara
import os
import glob

# 1. 準備したYARAルールをコンパイル
# ルールファイルはrules/ディレクトリにまとめておく
def compile_rules(rules_dir):
    rules_files = {name: os.path.join(rules_dir, name) for name in os.listdir(rules_dir) if name.endswith('.yar')}
    return yara.compile(filepaths=rules_files)

# 2. メモリダンプに対してスキャンを実行
def scan_memory_dump(dump_path, rules):
    print(f"[*] スキャン開始: {dump_path}")
    matches = rules.match(dump_path)
    
    if matches:
        for match in matches:
            print(f"[!] 検知！ ルール名: {match.rule}, オフセット: {match.strings}")
    else:
        print("[+] 脅威は見つかりませんでした。")

if __name__ == "__main__":
    # 実際にはVolatilityで抽出した特定のプロセスダンプなどを指定する
    rules = compile_rules('./my_rules')
    scan_memory_dump('suspicious_proc.dmp', rules)

—

実戦で役立つ「攻撃者の盲点」を突くYARAルール例

ただシグネチャを追うだけでは、亜種（ランダムな文字列を混ぜたマルウェア）には通用しない。攻撃者の「挙動」を定義したルールを書くのがコツだ。

例えば、メモリ上の Reflective DLL Injection を狙う場合、以下のようなルールが有効だ。

rule Detect_Reflective_Injection {
    meta:
        description = "メモリ上の不審なDLLインジェクションパターンを検知"
    strings:
        // MZヘッダがメモリ上の不自然なオフセットにある場合
        $mz = "MZ"
        // ReflectiveLoaderが呼び出される際によく見られるアセンブリパターン
        $asm_pattern = { 55 8B EC 83 EC ?? 53 56 57 FF 75 ?? E8 }
    condition:
        $mz at 0 and $asm_pattern
}

—

運用上の注意：誤検知（False Positive）を減らすために

自動化の最大の敵は「誤検知」だ。メモリ内には、ブラウザのキャッシュや、正常なアプリケーションが動的に生成した文字列が混在している。

1. ホワイトリストの活用: OS標準のDLLや、自社で開発している社内ツールの署名済みバイナリは、YARAの除外ルール（not pe.imports("...") など）で予め弾く設定を行うこと。
2. 定期的なベースライン化: 正常稼働時のサーバーからメモリダンプを定期的に取得し、そこで検知される「正常な文字列パターン」をYARAの除外リストに加える。「何が異常か」を知るには、「何が正常か」を知ることから始めなければならない。

最後に：エンジニアへのアドバイス

メモリフォレンジックは、攻撃者が残した「最後の爪痕」を拾う作業だ。ディスクが暗号化され、ログが消去されていても、メモリさえ残っていれば事実は語られる。

ただし、自動化はあくまで「ツール」に過ぎない。検知した後に「なぜそのプロセスが実行されたのか」「どの脆弱性から侵入されたのか」を追うのは、アナリストの洞察力だ。今回のコードをベースに、皆さんの環境に合わせて「独自の検知ルール」を育てていってほしい。

セキュリティは、ツールを並べることではなく、攻撃者の思考を先回りすることから始まる。頑張ってくれ。