インシデントレスポンス & フォレンジック（DFIR）

はじめに：なぜいま「Linuxのメモリフォレンジック」なのかシステムが侵害された際、多くのエンジニアはまず /var/log/secure や Nginx のアクセスログ、あるいは ps や netstat コマンドの結果を確認するはずです...

こんにちは。セキュリティチーフエンジニアの「タカ」です。日々、Webアプリケーションの開発やインフラの運用、本当にお疲れ様。私たちが構築した頑強なシステムも、一瞬の隙を突かれて脆弱性を踏まれれば、攻撃者の侵入を許してしまう。「不審なプロセス...

メモリダンプは「平文個人情報の宝庫」であるという現実インシデントが発生した際、稼働中のサーバーから物理メモリ（RAM）をダンプして解析する「メモリフォレンジック」は、揮発性証拠を確保するための定石です。ファイルレスマルウェアの検知、インジェ...

法廷で勝てるメモリフォレンジック：「証拠の保全」という泥臭くて最も重要な真実おい、ちょっと手を止めてこっちを向いてくれ。お前たちは日々、綺麗なコードを書き、CI/CDパイプラインを回し、クラウドのオートスケーリングに胸を躍らせていることだろ...

よう、日々の開発にインフラ運用、本当にお疲れ様。システムがスケールし、サービスが成長していくのを見るのはエンジニアとして最高の瞬間だが、それと同時に俺たちの肩にのしかかるのが「セキュリティインシデント」という容赦のない現実だ。「うちの環境は...

おい、ちょっと手を止めてこっちを向いてくれ。今朝、クライアントのCSIRTから緊急連絡が入った。「社内ポータルにアクセスしていないはずの管理者の権限で、深夜に海外から大量の顧客データがエクスポートされた」というのだ。ログを洗うと、パスワード...

おい、ちょっと手を止めてこっちを向いてくれ。今朝、クライアントのインフラで奇妙なアラートが上がった。EDRが特定のLinuxサーバー上で「プロセスの異常終了」を検知したものの、いざフォレンジックチームが現場に入ってメモリダンプを取得しようと...

おい、ちょっと手を止めてこっちを向いてくれ。今朝、ウチのSOC（セキュリティオペレーションセンター）で冷や汗もののアラートが上がった。某クライアントのドメインコントローラーに繋がる踏み台サーバーで、不審なプロセスの挙動が検知されたんだ。原因...

おい、手を休めてこっちをくれ。先週、某クライアントのEDRから「不審なPowerShellの実行検知」が飛んできた件、覚えているか？ 結局、初期侵入からのラテラルムーブメント（横展開）を許し、ドメインコントローラーの手前まで足場を固められて...

ゲストOSの足元をすくわれる日：OSの中だけを信じるなおい、そこの君。本番環境のLinuxやWindowsサーバにEDR（Endpoint Detection and Response）を入れ、「これで我が社のセキュリティは万全だ」と胸をな...