インシデントレスポンス & フォレンジック（DFIR）

おい、ちょっと手を止めてこっちを向いてくれ。インシデントレスポンスの現場で、私たちは日々、サーバーのメモリ（RAM）を引き剥がすようにダンプし、攻撃者の足跡を追っている。プロセスインジェクションの痕跡、隠しネットワークコネクション、そしてメ...

隠されたプロセスを暴け：DKOMとカーネルオブジェクト不整合解析の現場おい、ちょっと手を止めてくれ。先週、某クライアントのインシデント対応で、俺たちは頭を抱えた。EDR（Endpoint Detection and Response）のコン...

コンソール履歴は消せるという幻想：メモリフォレンジックで暴く攻撃者の足跡おい、ちょっとこっちに来てくれ。先週、某クライアントのサーバーでWebシェル経由の侵入インシデントがあったんだ。侵入者は痕跡を消すために history -c を叩き、...

おい、ちょっと手を止めてこっちを向いてくれ。今朝、クライアントのEDRから「不審なプロセスの挙動検知」のアラートが飛んできた。詳細を洗ってみると、どうやら侵入者が端末内でこっそり画面キャプチャを試みた痕跡がある。リモートデスクトップのログに...

おい、ちょっと手を止めてこっちを向いてくれ。今、うちのSOCで入ったばかりのインシデントの初期解析が終わったところだ。標的型攻撃の初期潜伏から、見事なまでにメモリ上だけで痕跡を消そうとしたマルウェアの挙動を追っていたんだが……攻撃者は「プロ...

おい、ちょっと手を止めてこっちを向いてくれ。今朝、クライアントのインフラから上がってきたアラートを見たか？EDRは「クリーン」と判定しているのに、特定のWebアプリケーションのレスポンスがおかしい。バックグラウンドで予期せぬ外部通信が発生し...

ゲストOSの中だけでセキュリティを語るな：ハイパーバイザーレベルのメモリイントロスペクション（VMI）で「見えない改ざん」を暴くおい、ちょっと手を止めてこっちを向いてくれ。日夜、Webアプリケーションの脆弱性修正や、クラウドのIAM権限チュ...

メモリフォレンジックの現場から：ハッシュ値なき証拠は「ただのゴミ」であるおい、最近入った後輩くん、ちょっと手を止めてこっちを向いてくれ。お前、昨日の夜間対応でサーバーが踏み台にされた時、慌ててライブレスポンスツールを叩いてメモリダンプを取っ...

おい、ちょっと手を止めてこっちを向いてくれ。今朝、ウチのSOC（セキュリティオペレーションセンター）で冷や汗をかくようなアラートが上がった。ある踏み台サーバーから内部のドメインコントローラーへ向けて、不審なセッション確立の試行が検知されたん...

おい、ちょっと手を止めてこっちを向いてくれ。今朝、クライアントのインシデント対応（DFIR）で徹夜明けなんだが、非常に興味深い、そして現場のエンジニアにとって胃が痛くなるような事案が終わったところだ。侵入したマルウェアが、こちらのフォレンジ...