インシデントレスポンス & フォレンジック（DFIR）

メモリフォレンジックの真実：証拠の完全性を殺す「不可視の汚染」と防衛の深層インシデントレスポンスの現場において、メモリダンプは「死んだディスク」とは比較にならないほど饒舌だ。しかし、その饒舌さは諸刃の剣でもある。取得コマンドを実行した瞬間に...

メモリフォレンジックの真髄：ミリ秒の静寂に刻まれたキルチェーンを暴くメモリフォレンジックは、単なる「ダンプを眺める作業」ではない。それは、攻撃者がシステムという名の広大なキャンバスに残した、極めて一時的で、かつ最も饒舌な「足跡」を復元する高...

カーネルの深淵を覗く：EPROCESSとETHREADによる「隠蔽された真実」の抽出インシデントレスポンスの現場において、OSが提供するAPI――例えば EnumProcesses や tasklist コマンド――を信じきっている人間は、...

亡霊を捕らえる：インメモリ実行型マルウェアの深層解析ディスクを漁る時代は終わった。現代の高度な脅威アクターは、ntdll.dllの深淵で踊り、VirtualAllocExの隙間に隠れ、再起動とともに消え去る。ファイルレスマルウェアの調査にお...

メモリの残滓を読み解く：C2通信の痕跡を「クローズされたSocket」から復元する深淵インシデントレスポンスの現場において、多くのエンジニアが陥る罠がある。それは「netstat や ss コマンドで現在アクティブな接続だけを見て安心してし...

メモリの深淵をハントする：YARAルール最適化とフォレンジックの極致メモリフォレンジックは、単なる「ダンプをVolatilityに投げる作業」ではない。それは、OSが隠蔽しようとする動的な真実を、攻撃者の足跡と共に掘り起こす考古学だ。特に、...

虚構の境界線：Windowsメモリ管理の深淵とページテーブルによる「真実」の再構築インシデントレスポンスの現場において、多くの駆け出しアナリストが犯す最大のミスは、OSが提供するAPIや標準ツール（tasklistやnetstat）が返す「...

メモリの深淵を覗く：AES Key Schedule抽出による「不可視」の脅威解析インシデントレスポンスの現場において、犯人が残したディスクイメージの解析はもはや「定石」に過ぎない。しかし、攻撃者がメモリ上にのみ鍵を展開する「Fileles...

幽霊を暴く：PEB隠蔽を無効化するメモリフォレンジックの深淵インシデントレスポンスの現場で、最も神経をすり減らすのは「見えているもの」ではなく「見えていないもの」だ。EDRのダッシュボードが平穏を装っているとき、攻撃者は既にカーネルの深淵で...

カーネルの深淵を覗く：メモリフォレンジックで暴く「不可視の侵入者」最近のEDRは優秀だ。ユーザーモードの不審な挙動や、シグネチャベースのマルウェアは、もはやSOCのダッシュボードに自動で弾き出される。しかし、我々DFIRの現場で「最後に行き...