揮発性メモリのフォレンジクス - Cyber SEC TSM | サイバーセキュリティTSM

揮発性メモリに残されている情報を収集するフォレンジクスの具体的な方法

揮発性メモリ（RAM）に残されている情報を収集することは、デジタルフォレンジクスにおいて非常に重要です。
メモリには、実行中のプロセス、ネットワーク接続、ログイン情報、暗号鍵などの貴重なデータが含まれている可能性があります。
以下に、揮発性メモリの情報を収集する具体的な方法を説明します。

ツールの準備

揮発性メモリのデータ収集には、特定のフォレンジックツールを使用します。以下のツールは広く使用されています。

Volatility

オープンソースのメモリフォレンジックツールで、
メモリダンプの解析に非常に強力です。

FTK Imager

メモリダンプの取得に使用されるツールです。

DumpIt

Windows環境でメモリダンプを取得する簡単なツールです。

メモリダンプの取得

まず、ターゲットシステムからメモリの内容をダンプ（コピー）します。

• FTK Imagerを使用する場合:

1. FTK Imagerを起動し、「File」→「Capture Memory」を選択します。
2. 保存場所を指定し、「Capture」をクリックしてメモリダンプを取得します。

• DumpItを使用する場合:

1. DumpIt.exeを管理者権限で実行します。
2. ダンプファイルが自動的に指定された場所に保存されます。

メモリダンプの解析**

取得したメモリダンプを解析するために、Volatilityを使用します。

• Volatilityのセットアップ:

 - Volatilityをダウンロードし、環境に応じた設定を行います。

• 基本的なコマンドの使用:

 - メモリイメージのプロファイルを特定します:
   volatility -f memory.dmp imageinfo

 - 実行中のプロセスをリストアップします:
   volatility -f memory.dmp --profile=Win7SP1x64 pslist

 - ネットワーク接続を確認します:
   volatility -f memory.dmp --profile=Win7SP1x64 netscan

 - ログインセッションを確認します:
   volatility -f memory.dmp --profile=Win7SP1x64 logonsessions

• 詳細な解析:

メモリ上の重要な情報を抽出します。
たとえば、暗号化キーやパスワードのハッシュを探します。

記録と報告

解析結果を詳細に記録し、フォレンジック調査の報告書を作成します。報告書には以下の情報を含めます。

• 収集した証拠の概要
• 使用したツールとそのバージョン
• 実行した手順の詳細
• 発見された重要なデータとその解析結果

まとめ

揮発性メモリからのデータ収集は、デジタルフォレンジクスにおいて重要なステップです。適切なツールと手法を使用することで、メモリ内の貴重な情報を取得し、インシデント対応やセキュリティ調査に役立てることができます。