インシデントレスポンス & フォレンジック（DFIR）

クラウド時代のメモリフォレンジック：ハイパーバイザの深淵を覗く覚悟はあるかオンプレミスの物理サーバであれば、迷わずメモリスティックを差し込み、LiMEやAVMLを走らせる準備をしていただろう。だが、クラウドというブラックボックスの中で、我々...

メモリフォレンジックの深淵：プライバシーという名の「ノイズ」をどう制御するかインシデントレスポンスの現場において、メモリダンプは「真実の鏡」だ。ディスクフォレンジックが語るのが「何が起きたか」の履歴だとしたら、メモリフォレンジックは「今、何...

証拠の「死」を防ぐ：メモリフォレンジックにおけるChain of Custodyの極北インシデントレスポンスの現場において、メモリダンプほど「諸刃の剣」なものはない。物理メモリ（RAM）に常駐する悪意あるバイナリや、暗号化通信のセッションキ...

泥沼のメモリフォレンジックを「CI/CD」で制圧する：自動化パイプラインのアーキテクチャ「メモリダンプを採取し、Volatilityでコマンドを叩き、怪しいプロセスを目視で追う」。これがインシデントレスポンスの現場で、未だに多くのエンジニア...

メモリの残滓を暴く：ブラウザセッション奪取のフォレンジックと「不可視」の防御戦略現場でインシデントレスポンス（IR）を行っていると、攻撃者がいかに「ログイン後の世界」を狙っているか痛感させられる。WAFでSQLiを弾き、エンドポイントでマル...

メモリフォレンジックの深淵：アンチフォレンジックを「見抜く」ための非対称的思考現場でメモリダンプを叩くとき、我々が見ているのは「今の瞬間」の真実ではない。攻撃者が残した偽りの残像と、OSが吐き出した断片的なログの混濁物だ。特に、高度な標的型...

LSASSという名の「パンドラの箱」：メモリフォレンジックで暴く資格情報の奪取劇現場の最前線でインシデント対応をしていると、調査の終盤で必ずと言っていいほど直面するのが、Local Security Authority Subsystem ...

侵入者の足跡を物理メモリから暴く：conhost.exeとコマンド履歴のフォレンジックインシデントレスポンスの現場において、「攻撃者がコマンドを打ったか、打っていないか」を議論するのは時間の無駄だ。彼らは痕跡を消すために Invoke-Hi...

観測者のパラドックスを突破せよ：VMIによる「不可視」のフォレンジック・アーキテクチャ現場で「EDRが沈黙した」という報告を受けるとき、私の脳裏には常に、カーネルモードで蠢くルートキットや、ハイパーバイザーを汚染するブルーピル（Blue P...

メモリフォレンジックの真実：証拠の完全性を殺す「不可視の汚染」と防衛の深層インシデントレスポンスの現場において、メモリダンプは「死んだディスク」とは比較にならないほど饒舌だ。しかし、その饒舌さは諸刃の剣でもある。取得コマンドを実行した瞬間に...