インシデントレスポンス & フォレンジック（DFIR）

iOSメモリフォレンジックの深淵：サンドボックスの壁と「見えない」脅威への対峙現場でインシデント対応をしていると、「iOSはクローズドだから安全だ」という甘い言葉を耳にすることがある。だが、フォレンジックの視点から言えば、それは「調査が極め...

現場の泥臭い戦場から：Androidメモリフォレンジックの幻想と現実諸君、お疲れ様。現場でインシデントに遭遇したとき、一番絶望するのは「証拠が揮発した瞬間」だ。特にAndroidというプラットフォームは、我々DFIR（デジタルフォレンジック...

現場のエンジニア諸君、今日も泥臭い戦い、お疲れ様。「コンテナは隔離されているから安全」なんて言葉、インシデント現場では一番の禁句だ。今日は、メモリフォレンジックの最前線で我々が直面している「名前空間（Namespace）の罠」について話そう...

Kubernetesの闇に潜む侵入者：Podメモリフォレンジックによる証拠保全の自動化現場でインシデントレスポンス（IR）を指揮していると、いつも痛感することがある。それは「攻撃者はログを消すが、メモリは嘘をつかない」という事実だ。特に最近...

コンテナの「心臓」を覗き見る：runc/containerdのメモリフォレンジックと、その悪用を防ぐ防壁現場のエンジニア諸君、お疲れ様。今日もコンテナは元気に回っているか？多くのエンジニアが「コンテナは隔離されているから安全だ」と信じている...

メモリフォレンジックを「経営層の納得」に変える技術――現場の泥沼から脱出する可視化術現場のエンジニア諸君、お疲れ様。今日もどこかで踏み台にされたサーバーのログと格闘していることだろう。メモリフォレンジックは、DFIRの最終兵器だ。「ディスク...

メモリフォレンジックの深淵へ：既存プラグインで満足しているなら、もう手遅れかもしれない。現場でインシデント対応をしていると、「既知のツールを回せば解決する」という幻想を抱いている担当者によく出会う。だが、現実は甘くない。最新の標的型攻撃や、...

インシデントレスポンスの「最後の砦」を汚染させるな：解析環境の堅牢化と隔離設計現場でインシデントレスポンス（IR）を行っていると、時折、「解析中のマルウェアが解析環境から脱出し、ホストOSや社内ネットワークに拡散した」という悪夢のような報告...

メモリフォレンジックの「証拠能力」を担保せよ：現場で泣かないためのチェーン・オブ・カストディインシデント発生時、君たちが最初に行うのは「サーバーの再起動」だろうか？もしそうなら、その瞬間に君たちは「事件の真相」を永遠に葬り去っていることにな...

「消えない」侵入者：WMIイベントサブスクリプションを悪用した永続化をメモリから暴く現場でインシデント対応をしていると、OSを再起動しても、パスワードを変えても、数日後には必ず「戻ってくる」悪意ある存在に頭を抱えることがよくある。多くのエン...