インシデントレスポンス & フォレンジック（DFIR）

現場の最前線から：メモリに残る「攻撃者の足跡」を暴くようこそ、インシデントレスポンスの深淵へ。多くのエンジニアが「ログ」を頼りに調査を進める中、プロのフォレンジックアナリストが真っ先に手を伸ばすのは「メモリ（RAM）」だ。なぜなら、ディスク...

メモリの「空白」を覗く：VADツリー解析で暴くシェルコードの正体現場でインシデント対応をしていると、よく「巧妙に隠蔽されたマルウェアが見つからない」という相談を受けます。攻撃者は今や、ディスクに痕跡を残さない「ファイルレス攻撃」を常套手段と...

見えない敵を暴く：DKOMによるプロセス隠蔽とメモリフォレンジックの真髄現場でインシデント対応をしていると、「psコマンドにもタスクマネージャにも現れないのに、明らかにネットワークトラフィックが異常」という不気味な相談を受けることがよくある...

プロセスの「親」を疑え：Volatility 3で見抜く隠蔽工作と、そもそも侵入を許さない要塞の作り方現場でインシデント対応をしていると、侵入した攻撃者が最も好む「隠れ蓑」に気づかされます。それがプロセスツリーの偽装（Parent PID ...

クラウドネイティブの「一瞬」を捕らえろ：Falcoとメモリフォレンジックで挑む動的インシデント対応「アラートが鳴った。だが、コンテナは既に削除され、ログも消え去っている」。クラウドネイティブ環境のインシデントレスポンスにおける最大の悪夢は、...

メモリフォレンジックの「光と影」：プライバシーを汚さず、侵入者だけを炙り出す技術現場でインシデント対応をしていると、時折「メモリダンプを取ること」に対する過度な恐怖心を持つエンジニアに出会う。確かに、メモリにはユーザーのパスワード、プライベ...

現場の諸君、お疲れ様。今日もどこかのサーバーで、誰かが必死にC2（Command & Control）サーバーへのバックドアを維持しようと足掻いている。多くのエンジニアは「WAFを入れているから大丈夫」「コンテナだから再起動すれば消える」と...

Androidの深淵を覗く：Binderトランザクション解析から見抜く「静かなる侵入者」現場でインシデント対応をしていると、端末が物理的に手元にあっても、OSの表面的なログだけでは「何が起きたか」を掴めないケースに何度も遭遇する。特にAnd...

Kubernetes環境でのメモリフォレンジック：消えゆく証拠を「法廷レベル」でどう掴むか「コンテナが落ちた？ じゃあ再起動してログ確認しといて」。現場でよく聞く会話だが、セキュリティの最前線にいる我々からすれば、これは証拠隠滅を自ら手伝っ...

現場の視点：なぜモバイルアプリのメモリダンプが「宝の山」なのか現場でインシデント対応をしていると、攻撃者がいかに「通信の暗号化」という障壁を軽々と飛び越えてくるかを痛感させられます。SSL/TLS通信を覗き見しようと必死になるのは初心者です...