メモリの中に「真実」はある：攻撃者のコマンドラインを暴くフォレンジック技術
現場でインシデント対応をしていると、よくこんな相談を受ける。「ログが消されている」「攻撃の全貌がわからない」。だが、メモリ（RAM）という名の「最後の証拠保管庫」は、攻撃者がどれだけログを消そうが、実行した瞬間の生々しい痕跡を隠し持っている。
今回は、攻撃者がPowerShellを使って難読化されたコマンドを実行した際、それをメモリフォレンジックでどうやって「復元」するのか。そして、そんな攻撃をそもそも許さないために、エンジニアとしてどう「ガード」を固めるべきか、現場の視点で解説しよう。
—
1. なぜ「コマンドライン引数」が重要なのか
攻撃者は、侵入後の偵察や横展開（Lateral Movement）において、わざわざ複雑なマルウェアをファイルとして保存することは減っている。代わりに、powershell.exe -enc <Base64文字列> のような形式で、メモリ上で完結する「ファイルレス攻撃」を多用する。
彼らが実行したコマンドの全貌は、WindowsのPEB (Process Environment Block)というデータ構造の中に格納されている。Volatilityなどのフォレンジックツールでこのメモリ領域をダンプし、_RTL_USER_PROCESS_PARAMETERS構造体にアクセスすることで、攻撃者が隠蔽した難読化コマンドを「素の状態」で復元できるんだ。
攻撃者が好む「足跡」の例
攻撃者は以下のような引数を多用する。
-ExecutionPolicy Bypass: 実行ポリシーを無視-WindowStyle Hidden: 画面に表示させない-Enc (Base64): コマンドを難読化して隠す
これらを実行されると、OSの標準的なイベントログ（4688など）では、-enc 以降が切れてしまったり、そもそもログが改ざんされたりすることが多い。だからこそ、メモリフォレンジックが最後の頼みの綱となる。
—
2. 攻撃を防ぐための「フロントライン」：PHP/Pythonでの対策
メモリフォレンジックで足跡を見つけるのは「事後」の作業だ。プロとしてやるべきは、そもそも「コマンドインジェクション」を許さないこと。Webアプリケーションのバックエンドから exec() や system() を呼ぶ際は、細心の注意が必要だ。
不適切な実装（絶対にやってはいけない）
// 危険！ユーザー入力をそのままシェルコマンドに渡している
$target = $_GET['ip'];
system("ping -c 4 " . $target);
// 攻撃者: 127.0.0.1; powershell -enc ... と入力されたら終了推奨されるセキュアな実装例（PHP）
外部コマンドを呼び出す際は、escapeshellarg() を使用し、かつ入力値の妥当性をホワイトリストで検証する。
// 安全な実装：入力を完全にエスケープし、ホワイトリストでフィルタリング
function safe_ping($ip) {
// IPv4の正規表現チェック
if (!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4)) {
throw new Exception("不正なIPアドレス形式です");
}
// 引数を安全な形にエスケープ
$safe_ip = escapeshellarg($ip);
// コマンドを実行（絶対パスを推奨）
return shell_exec("/usr/bin/ping -c 4 " . $safe_ip);
}—
3. インフラレイヤーでの「防御の壁」：PowerShellの封じ込め
アプリケーション側で防ぐのがベストだが、万が一の侵入に備えて、OS・インフラ側でも「コマンドライン引数」を悪用させない設定が必要だ。
PowerShellの制限：Constrained Language Mode
システム管理者にしかPowerShellのフル機能を使わせない設定（Constrained Language Mode）を適用しよう。これにより、メモリ上で任意の難読化スクリプトを実行しようとしてもエラーになる。
グループポリシー (GPO) での適用設定:
- パス:
コンピューターの構成>管理用テンプレート>Windows コンポーネント>Windows PowerShell PowerShell の実行の有効化:有効オプション:制約付き言語モードを選択
EDR / Defender for Endpoint での監視
最近のEDR製品であれば、コマンドライン引数の監視が可能だ。特に、powershell.exe が -enc または -encodedcommand という引数で起動された場合、即座にアラートを上げるルールを運用監視（SOC）に組み込むことを強く推奨する。
—
最後に：エンジニアが持つべき「疑いの心」
メモリフォレンジックは非常に強力だが、それだけに頼る運用は自転車操業だ。
攻撃者は常に「ログの盲点」を突いてくる。コマンドライン引数に Base64 が含まれていたら、それは十中八九、悪意のある何かだ。
- アプリの入力は「すべて悪意がある」と見なせ。
- PowerShellの実行は、最小権限かつ制約付きモードで管理せよ。
- ログを信じすぎず、常にメモリ上の「生データ」を意識してインフラを設計せよ。
今日のこの知識が、君たちが担当するシステムをより強固なものにすることを期待している。何かあれば、いつでもインシデントレスポンスの現場で会おう。健闘を祈る。
コメント