メモリフォレンジック
メモリフォレンジック とは何ですか?
メモリフォレンジックシステムの揮発性 RAM を取得・解析し、稼働中プロセス、ネットワーク接続、注入コード、メモリ上の痕跡を明らかにする領域。
メモリフォレンジックは電源断で消える揮発性データを対象にし、ディスクフォレンジックでは届かない証拠—メモリ常駐型マルウェア、解凍済みペイロード、暗号鍵、ブラウザセッション、平文資格情報、ルートキットの隠蔽手法—を明らかにします。取得には WinPmem、DumpIt、AVML、あるいは仮想化基盤のスナップショットを用い、RAW ダンプや VMware の vmem ファイルを生成します。Volatility 3 や Rekall などの解析フレームワークは OS 構造を解析してプロセス、DLL、ソケット、レジストリ、コードインジェクションを列挙します。ファイルレスマルウェアや APT の調査に不可欠で、NIST SP 800-86 に沿った DFIR でディスク・ネットワーク解析を補完します。
● 例
- 01
Volatility 3 の malfind プラグインでメモリイメージ内の注入シェルコードを検出。
- 02
Windows RAM ダンプから攻撃者が実行した Mimikatz の出力を復元。
● よくある質問
メモリフォレンジック とは何ですか?
システムの揮発性 RAM を取得・解析し、稼働中プロセス、ネットワーク接続、注入コード、メモリ上の痕跡を明らかにする領域。 サイバーセキュリティの フォレンジックと IR カテゴリに属します。
メモリフォレンジック とはどういう意味ですか?
システムの揮発性 RAM を取得・解析し、稼働中プロセス、ネットワーク接続、注入コード、メモリ上の痕跡を明らかにする領域。
メモリフォレンジック からどのように防御しますか?
メモリフォレンジック に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
メモリフォレンジック の別名は何ですか?
一般的な別名: RAM フォレンジック, 揮発性メモリ解析。