インシデントレスポンス & フォレンジック（DFIR）

ゴーストを暴く：PEB操作によるプロセス隠蔽と、メモリフォレンジックによる真実の追跡現場でインシデントレスポンス（IR）を指揮していると、OSが報告する「正当な情報」がどれほど簡単に嘘をつくかを痛感させられる。タスクマネージャーや task...

現場の嗅覚：Volatility 3によるメモリフォレンジックの「真実」メモリフォレンジックは、デジタルフォレンジックにおける「最終防衛ライン」だ。ディスク上のログは改ざん可能だが、物理メモリ上の揮発データは、攻撃者がどれほど巧妙に痕跡を消...

SIEMは「ログの墓場」か、それとも「狩猟の戦場」か：メタデータを超えたメモリ直視の防衛術多くのSOCにおいて、SIEMは単なるログの集積所と化している。膨大なSyslogやEDRのイベントを放り込み、ベンダーが提供する「テンプレート」に従...

メモリフォレンジックの深淵：証拠能力を担保する「Chain of Custody」の極意インシデントレスポンスの現場において、メモリダンプは「動的な真実」を捉えるための唯一無二の手段だ。しかし、攻撃者がカーネルレベルでRootkitを仕込み...

コンテナの「死」を捉える：Kubernetesメモリフォレンジックの最前線インシデントレスポンスの現場において、「コンテナは生き物ではない」という言葉をよく耳にする。だが、実態はもっと残酷だ。コンテナは「ゾンビ」のように振る舞い、事象が発生...

クラウドの「見えない穴」を暴く：S3/Blobストレージログ解析の深淵とDFIRの戦術多くのアーキテクトがクラウドストレージを「単なるバケツ」と捉えている間に、攻撃者はその「メタデータ」の隙間に潜り込んでいる。S3やAzure Blob S...

クラウドの「静かなる異常」を暴く：VPCフローログの深層解析とメモリフォレンジックの交差点現場でインシデントに立ち会う際、我々がまず直面するのは「ノイズの海」だ。数百万行のVPCフローログを前に、攻撃者の息遣いを感じ取れるようになるには、単...

ログの「死」を看取るな：ハッシュチェーンによる証拠保全の極北現場でインシデントレスポンス（IR）を指揮していると、最も絶望的な瞬間に立ち会うことがある。それは、攻撃者がシステムに侵入した形跡を探そうとログを確認した際、まさにその「攻撃の痕跡...

ログの「行間」を読む：SQLiフォレンジックにおける真実の追跡Webサーバーのアクセスログを眺めるとき、多くのエンジニアは 404 や 500 といったステータスコードの羅列に目を奪われる。だが、インシデントレスポンスの最前線にいる我々にと...

境界防御の終焉：VPNログとAD認証の「微細な不整合」を突くフォレンジック・アーキテクチャVPNのログを見ていると、時折、非常に「居心地の悪い」接続履歴に遭遇する。地理的に不可能なログイン？ そんなものは現代のC2プロキシを噛ませた攻撃者に...