フォレンジック調査とは「コンピューターやその他の電子機器に保存されているデジタルデータの収集、分析、解析を行う調査」のことであり、特にCPUに保存されるメモリを対象にしたフォレンジック調査を「メモリフォレンジック」と呼びます。

メモリには、マルウェアの実行痕跡などが保存されており、これら情報を分析することで、マルウェアの種類や侵入経路、被害状況を特定することができます。

この記事では、メモリを保全・解析するフォレンジックの一手法・メモリフォレンジックの特徴や出来ること、作業の流れについて解説します。

＼相談から最短30分でWeb打ち合わせを開催／

メモリフォレンジックとは

メモリフォレンジックとは、コンピュータのメモリ上の揮発性データを解析するフォレンジック技術です。揮発性データとは、電源を切ると消失するデータのことです。

メモリには、OSやアプリの実行状態、ユーザーの操作履歴、ネットワーク通信の履歴など、コンピュータの動作に関する情報が一時的に保存されており、これらの情報を分析することで、他の調査方法では取得できない情報を取得することができます。

ただし、メモリに保存されるデータは揮発性であるため、保全・解析にあたって、電源のオンオフは推奨されません。メモリは、コンピューターやその他の電子機器のハードウェアに組み込まれており、電源が供給されている間はデータを保持することができますが、電源が切れると、メモリのデータは消去されてしまいます。

そのため、メモリフォレンジックで不正行為やハッキングなどの痕跡を収集する場合、シャットダウンせず、コンピュータの電源が入った状態で、迅速に行う必要があります。

デジタルデータフォレンジックでは、お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたします。法人様の場合、ご相談から最短30分で初動対応のWeb打合せも開催しておりますので、お気軽にご相談ください。

ストレージドライブに痕跡を残さないマルウェアが増え、活用が広がった

最近では、ストレージドライブに痕跡を残さない「ファイルレスマルウェア」が増加し、その活用が広がっています。このようなマルウェアは通常のファイルシステムにファイルを書き込まず、メモリ内で実行されるため、従来のフォレンジック調査では検出が難しい傾向があります。

そこで、この問題に対処する手段としてメモリフォレンジックが注目されています。メモリフォレンジックでは、システムのメモリ内に存在する情報を分析し、マルウェアの実行痕跡や不正なアクティビティに関する情報を取得することが可能です。これにより、ファイルレスマルウェアによる攻撃の痕跡を見つけ出し、適切な対応を講じることができます。

また被害を最小限に抑え、迅速な対応を実施する手段として、素早く効果的にデジタル証拠を収集・分析する「ファストフォレンジック」があり、その必要性も年々高まっています。

デジタルフォレンジックの詳細についてはこちら

従来のフォレンジック調査との違い

従来のフォレンジック調査では、ストレージドライブからデータを取得して解析します。

一方、メモリフォレンジックは、コンピュータの物理メモリからデータを取得して解析します。大きく分けると次のような違いがあります。

なお、メモリフォレンジックは、専門的な知識や技術を必要とする複雑な作業です。そのため、フォレンジック調査を行う場合は、資格や経験を有するフォレンジック専門家に依頼することが望ましいです。

弊社では、高度な解析によって官公庁・上場企業をはじめ、法人・個人問わず幅広いインシデントの実態解明を行っています。いつでも対応できるよう、24時間365日体制でご相談を受け付けておりますので、まずはお気軽にご相談ください。

＼サイバーセキュリティ専門家へ24時間365日無料相談／

メモリフォレンジックのメリット

メモリフォレンジックのメリットは、次のとおりです。

迅速なインシデント対応（インシデントレスポンス）が可能

メモリフォレンジックは通常、システムのメモリ情報を解析するだけであり、大容量のディスク上のデータを取り扱う必要がありません。このため、リソースの使用が比較的軽量であり、高速に処理できます。

ストレージドライブに痕跡を残さないマルウェアによる攻撃を特定できる

マルウェアの中には、ストレージドライブに痕跡を残さずに活動する「ファイルレスマルウェア」などがあります。このようなマルウェアによる攻撃を特定するためには、メモリフォレンジックが有効です。メモリフォレンジックにより、マルウェアのコードやデータ、実行状態などを収集することで、マルウェアの特定や活動の解析を行うことができます。

データ漏えいの調査に有効

データ漏えいの調査において、どのデータがどこに送信されたのかを特定することが重要です。どのデータが漏えいしたかを特定することで、対処の優先順位を適切に設定できます。たとえば重要なデータや機密情報が漏えいした場合、それに対する優先的かつ迅速な対処が求められます。

メモリフォレンジックにより、ネットワーク通信の情報やアクセスしたファイルやデータを収集することで、データ漏えいの経路や目的を特定することができます。

アクセスの調査に有効

不正アクセスなどのインシデントが発覚時、ユーザーのアクセス履歴やプロセスの実行状態など、誰が、いつ、どのようなアクセスを行ったかを特定することが重要です。メモリフォレンジックにより、プロセスやスレッドの状態、ネットワーク通信の情報などを収集することで、アクセスの詳細を特定することができます。

改ざんに強い

ストレージドライブ上のファイルは、改ざんされる可能性があります。これは、ファイルが書き換えられる可能性があるためです。改ざんされる可能性がある理由はいくつかあります。たとえば、ユーザーが誤ってファイルを上書きしたり、悪意のあるソフトウェアがファイルを変更したりする可能性があります。

一方、メモリは揮発性データであるため、改ざんされる可能性が低くなります。そのため、フォレンジック調査では、メモリからデータを収集することが重要です。メモリから収集したデータは、ストレージドライブ上のファイルよりも改ざんされる可能性が低いため、より正確な調査を行うことができます。

オフラインでも分析できる

メモリフォレンジックでは、コンピュータの電源が入った状態でメモリダンプ（コンピュータのメモリ上に格納されている情報を一括して保存した記録）を取得します。

メモリダンプを取得した後はコンピュータの電源を切ってオフラインで分析することができるため、調査を外部機関に委託する際にも、メモリフォレンジックを行うことができます。

＼サイバーセキュリティ専門家へ24時間365日無料相談／

メモリフォレンジックで出来ること

メモリフォレンジックで出来ることは主に次のとおりです。

このように、メモリフォレンジックでは、インシデントの侵入経路を理解し、今後のセキュリティ対策を行うのにも役立ちます。

ただ、ここで留意しておきたいのは、メモリフォレンジックは、通常のセキュリティとは異なり、ネットワークの「防衛」を目的としていないことです。あくまでメモリフォレンジックは、事後調査や対策に活用できる手段であることを押さえておきましょう。

インシデントの原因究明・システムの復旧

実際にインシデントが発覚した場合、国が定める企業のコンプライアンス対応（特に個人情報保護法）にのっとり、早急な原因究明と問題解決を行う必要があります。

そこで有効なのが「メモリフォレンジック」です。メモリフォレンジックでは、複数台のネットワーク機器を調査し、挙動の怪しい端末など被害範囲を絞り込んだ上で関係するシステムの隔離・再構築といった復旧作業を効率的におこなうことができます。

マルウェア感染・不正アクセスの経路

メモリフォレンジックでは、通信データやログを分析することで、マルウェア感染や不正アクセスの経路を特定し、不正アクセスの原因となる脆弱性を修正することで、将来の攻撃を防止する事前対策を効率的に行うことができます。

社内サーバー・内部ネットワークへのハッキング痕跡

メモリフォレンジックでは、内部ネットワークへのアクセスログを詳細に分析します。具体的には、不正アクセスされたファイルやディレクトリ、アクセス日時などハッキングの痕跡を追跡し、どのデータやシステムが侵害されたのかを特定します。

メールの送受信履歴、閲覧履歴の把握

メモリフォレンジックでは、メールサーバーのログを詳細に分析し、大量の機密データを送信した形跡や、外部への不審な送受信履歴を時系列で把握することが可能です。

社内ネットワークを悪用した情報漏えい調査

従業員が機密データや知的財産を外部に送信していた、もしくはその疑いがある場合、メモリフォレンジックで、外部接続に利用された通信ログを収集・再構成し、どのデバイスやアカウントが不正通信に関与したかを詳細に確認することができます。

＼サイバーセキュリティ専門家へ24時間365日無料相談／

メモリフォレンジックで収集できるデータ例

メモリフォレンジックで収集できるデータは、インシデントの種類や調査の目的によって異なります。例えば、不正アクセスの調査であれば「OSやアプリケーションの状態」「実行中のプログラムのコード」「ネットワーク通信の情報」などを収集するのが一般的です。

メモリフォレンジックで収集できるデータ例として、以下のようなものが挙げられます。

OSやアプリケーションの状態

• OSのバージョンやパッチ適用状況
• アプリケーションの実行状況
• プロセスやスレッドの状態

実行中のプログラムのコードやデータ

• プログラムのソースコード
• プログラムの実行状態
• プログラムがアクセスしたファイルやデータ

ネットワーク通信の情報

• 送受信したパケットのヘッダーやデータ
• 通信先のIPアドレスやポート番号
• 暗号化された通信の解読

これらの情報は、侵入の手口を特定したり、攻撃の被害を特定したりと、セキュリティインシデントを調査するのに役立ちます。ただ、電源を切るとメモリ（RAM）の内容が消去されてしまうため、インシデントが発生した際は、電源を落とさずに、メモリ内のデータを維持した上で、専門業者まで対応を依頼することを検討しておきましょう。

デジタルデータフォレンジックでは、お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたします。法人様の場合、ご相談から最短30分で初動対応のWeb打合せも開催しておりますので、お気軽にご相談ください。

弊社では緊急の現地調査が必要な場合も、調査専門の技術員が迅速に駆け付けます。

フォレンジック調査はデジタルデータフォレンジックにお任せください