インシデントレスポンス & フォレンジック（DFIR）

カーネルの深淵を覗く：メモリフォレンジックで暴く「不可視の侵入者」最近のEDRは優秀だ。ユーザーモードの不審な挙動や、シグネチャベースのマルウェアは、もはやSOCのダッシュボードに自動で弾き出される。しかし、我々DFIRの現場で「最後に行き...

Volatility 3の深淵：カスタムシンボルテーブルでカーネルの「沈黙」を解読するインシデントレスポンスの現場において、メモリダンプは「嘘をつかない唯一の証人」だ。しかし、攻撃者が最新のカーネルエクスプロイトや、巧妙に隠蔽されたルートキ...

メモリフォレンジックの自動化：インシデント初動の「黄金の15分」を支配するパイプライン設計インシデントレスポンス（IR）の現場において、メモリダンプは「動かぬ証拠」の宝庫だ。ディスクに書き込まれる前のペイロード、難読化されたシェルコードの展...

墓場の中のプライバシー：メモリフォレンジックにおける「不可避な毒」とどう戦うかインシデントレスポンスの現場で、メモリダンプを叩く瞬間というのは、ある種の「覗き見」に近い。攻撃者が残した痕跡を追うためにVolatilityやRekallを走ら...

メモリの深淵を覗く：DKOMによるプロセス隠蔽と「不整合」の追跡術インシデントレスポンスの現場において、「プロセスリストに存在しないはずの脅威」と対峙した経験はどれほどあるだろうか。タスクマネージャーや ps コマンドがクリーンに見えても、...

メモリフォレンジックの深淵：コンソール履歴が語る「攻撃者の足跡」インシデントレスポンスの現場において、攻撃者が実行した痕跡を追うことは、まさに泥沼の中で黄金を見つける作業に似ている。ログが消去され、ツールが削除された後、最後に頼れるのは物理...

亡霊を可視化する：メモリ上のGDIオブジェクト解析による画面キャプチャ検知の深淵インシデントレスポンスの現場において、「画面キャプチャの痕跡」を追うことは、多くのアナリストにとって鬼門だ。攻撃者はディスクにログを残さない「ファイルレス」の手...

揮発性の幻想を追い越せ：pagefile.sysとhiberfil.sysが語るフォレンジックの真実現場で「メモリダンプさえあれば全て解決する」と信じているアナリストは、すでに攻撃者の掌の上にある。物理メモリ（RAM）のキャプチャは重要だが...

メモリフォレンジックの深淵：YARAによる動的解析と「静的な境界線」の突破インシデントレスポンスの現場において、多くの調査員はディスクイメージの解析という「死体検分」に時間を費やしすぎる。しかし、現代の高度な脅威はディスクに痕跡を残さない（...

虚構の境界線：VMI（仮想マシンイントロスペクション）が暴く「OSの嘘」現場でインシデントレスポンス（IR）を指揮していると、時折「どうしようもない壁」にぶち当たることがある。カーネルモードで動作するルートキットに感染したホストにおいて、p...