インシデントレスポンス & フォレンジック（DFIR）

現場の視点：なぜモバイルアプリのメモリダンプが「宝の山」なのか現場でインシデント対応をしていると、攻撃者がいかに「通信の暗号化」という障壁を軽々と飛び越えてくるかを痛感させられます。SSL/TLS通信を覗き見しようと必死になるのは初心者です...

コンテナの「死」を看取るな：現場で戦うためのメモリフォレンジック術コンテナ環境でのインシデントレスポンス（IR）は、いわば「時限爆弾を抱えながら外科手術をする」ようなものだ。従来の物理サーバーやVMであれば、メモリダンプを採取する時間は十分...

iOSのメモリフォレンジック：Keychainが「平文」で晒される瞬間とその防衛論現場でインシデント対応をしていると、「iOSはサンドボックス化されているから、Keychainのデータは絶対に安全だ」と盲信しているエンジニアによく出会う。残...

カーネルの深淵を覗く：Androidルートキットとメモリフォレンジックの最前線現場でインシデント対応をしていると、「OSが正常に動いているから大丈夫」という言葉がいかに脆い幻想であるかを痛感させられます。特にAndroidのカーネルレベルで...

コンテナの深淵を覗く：ファイルレス攻撃と「メモリの痕跡」を追い詰める技術こんにちは。インシデントレスポンスの現場にいると、よく「ディスクに何も落ちていないのに、なぜか不審な通信が発生している」という相談を受けます。現代の攻撃者は賢い。彼らは...

モバイルのメモリは「戦場」だ：アンチフォレンジックを突破するライブ解析の極意現場でインシデント対応をしていると、よく「メモリダンプさえ取れれば、すべてが解明できる」と期待する若手に出会う。だが、現実は甘くない。特にモバイルデバイスにおけるラ...

K8sノードが「沈黙」した時、君はメモリの中に何を見るか？現場でインシデント対応をしていると、よくこんな相談を受ける。「Kubernetesのコンテナが勝手に外部通信を始めたみたいなんだけど、ログを見ても何も分からないんだ」。攻撃者は賢い。...

コンテナのメモリは「消える」のか？ Volatility 3で追う、見えない侵入者の足跡現場でインシデント対応をしていると、よくこんな相談を受ける。「コンテナが侵害された可能性があるが、Podを再起動したら証拠が消えてしまった。メモリフォレ...

メモリは「隠し場所」ではない：モバイルアプリの鍵保護を「現場の流儀」で考える現場でインシデント対応をしていると、開発者が「暗号化しているから大丈夫」と胸を張るケースによく遭遇する。だが、メモリフォレンジックのプロから見れば、それは「鍵を玄関...

Androidメモリフォレンジックの深淵：ARTヒープから「秘密」を抜き取る攻撃と防御のリアル現場のエンジニア諸君、お疲れ様。今日もセキュアなコードを書いてるか？多くの開発者は「通信経路をTLSで暗号化しているから安心だ」と口を揃える。だが...