インシデントレスポンス & フォレンジック（DFIR）

おい、ちょっと手を止めてこっちを向いてくれ。昨今のインシデントレスポンスの現場で、私たちDFIRチームが何を見ているか知っているか？ディスクフォレンジックだけをやっている時代はもう終わった。ランサムウェアの身代金要求や、APTグループによる...

おい、ちょっとこっちに来てくれ。昨夜、ウチの監視システムが奇妙なアラートを吐いた。某WebサーバーのCPU使用率が跳ね上がり、不可解なプロセスが外部と通信しようとした痕跡があったんだ。幸い、初期段階でネットワークから隔離したから致命傷は免れ...

メモリフォレンジックの最前線：ファイルレス攻撃を「可視化」し、その息の根を止める技術現場でインシデントレスポンスを担当していると、時折「ディスク上には何も落ちていないのに、バックドアが動き続けている」という悪夢のような事態に直面します。これ...

Linuxメモリフォレンジックの真実：LiMEとVolatilityで「消える証拠」を掴む技術現場でインシデント対応をしていると、「サーバーが乗っ取られたかもしれない」という悲痛な報告を受けることがよくある。だが、被害状況を調査する際、ディ...

メモリの「ゴミ」から秘密を暴く：AES鍵抽出と、エンジニアが陥る「安全な実装」の誤解インシデントレスポンスの現場で、攻撃者が残した痕跡を追うとき、私は必ず「メモリ」を疑う。ディスク上のログは消せても、アプリケーションが実行時にメモリ上で展開...

メモリの「空白」を覗き見る：インジェクション攻撃をVADツリーから暴く技術現場でインシデント対応をしていると、よく「巧妙なマルウェア」という言葉を耳にする。だが、実際に対峙するのは「巧妙」なのではなく、「OSの正当な機能を悪用しただけ」のコ...

境界防衛の先にある闇：カーネルモード・ルートキットとメモリフォレンジックの現場システム管理者やアプリ開発者の諸君、お疲れ様。ログの監視やWAFの導入で「完璧な防御」を成し遂げたと満足しているなら、一度立ち止まってほしい。君たちが守っているの...

幽霊はタスクマネージャーに映らない：PEB操作によるプロセス隠蔽と「真実」の暴き方現場でインシデントレスポンス（IR）をしていると、管理者に「サーバーが異常に重いのに、プロセスリストには何も怪しいものがない」と相談されることがよくある。これ...

メモリは嘘をつかない：Volatility 3で暴く侵入者の痕跡現場でインシデント対応をしていると、よく「ログを消された」「侵入経路がわからない」という悲鳴を聞く。だが、物理メモリ（RAM）は裏切らない。ディスク上のログは改ざんできても、実...

SIEMは「ログの墓場」ではない：インシデントを見抜くための相関分析の極意「SIEMを導入したからもう安心だ」。現場でそんな言葉を耳にするたび、私は背筋が凍る思いがする。多くのチームが、SIEMをただのログストレージとして扱い、溢れかえるア...