インシデントレスポンス & フォレンジック（DFIR）

痕跡は「揮発性」の中に宿る：メモリフォレンジックで暴く攻撃者の本心現場でインシデント対応をしていると、よく「ログを消されたので手詰まりです」という報告を受ける。だが、プロの視点から言わせてもらえば、それは「証拠を捨てる場所を間違えている」だ...

現場で血の気の引くようなインシデントに立ち会ったことがある人間なら、誰しも一度は「なぜメモリダンプが空っぽなんだ？」と絶望した経験があるはずだ。今日取り上げるのは、メモリフォレンジックにおける「アンチフォレンジック」だ。攻撃者は、我々がメモ...

メモリに刻まれた「指紋」を追え：Mutex解析でマルウェアを特定する現場の技術インシデントレスポンスの現場に立つと、派手なエクスプロイトコードよりも、メモリ上に静かに佇む「たった一つのオブジェクト」が事件を解決に導くことが多い。今日は、マル...

メモリフォレンジックの真実：法廷で「勝てる」証拠をどう掴むか現場でインシデントに遭遇したとき、多くのエンジニアが犯す最大のミスは「とりあえず電源を切る」ことだ。しかし、現代の高度な攻撃者は、ディスクに痕跡を残さずメモリ上だけで完結する「ファ...

「ディスクには何も残さない」という悪夢：メモリフォレンジックで紐解くファイルレス攻撃の正体現場でインシデント対応をしていると、「サーバーに侵入された痕跡があるのに、ログを漁っても不審なファイルが見当たらない」という相談をよく受ける。これが現...

メモリは嘘をつかない：Volatilityで暴く「見えない侵入者」の足跡現場でインシデント対応をしていると、「ログが消されている」という絶望的な報告を耳にすることがよくある。攻撃者は侵入後、まず最初に auditd や syslog を無効...

現場の最前線から：Process Hollowingという「静かな侵入者」を暴くインシデントレスポンスの現場で、最も胃が痛くなる瞬間は「プロセスリスト上は正規のプログラムが動いているのに、その挙動が全くの別物であるとき」です。今日解説するの...

物理メモリが消えても「痕跡」は消えない：pagefile.sysとhiberfil.sysを武器にするDFIRの極意インシデントレスポンスの現場において、「メモリダンプを取りました」という報告を聞くと、多くのジュニアエンジニアは満足げな顔を...

【DFIR最前線】メモリから暴く「Mimikatz」の足跡：lsass.exeを守り抜くための鉄則現場でインシデント対応をしていると、決まって遭遇するのが「lsass.exe」を巡る攻防です。攻撃者が一度ドメイン環境に足がかりを作れば、彼ら...

メモリフォレンジックで暴く「見えないC2通信」：Volatilityで紐解く攻撃者の足跡現場の最前線でインシデント対応をしていると、よく「ログを全部取っているから大丈夫」と自信満々に言うエンジニアに出会う。だが、プロの攻撃者はそんな甘い期待...