メモリフォレンジック
メモリフォレンジックとは、揮発性のデータを解析する技術です。インシデントレスポンスにおいては、不正プログラムの通信先やメモリ上に
展開されたデータを解析することが重要となります。
メモリのみで動作する不正プログラムなどを調査する場合にも非常に
有効な手段となります。
また、メモリと比較してサイズの大きいのディスクイメージをフォレンジックするのに比べて作業量が少なく済むため解析の優先度を決めるトリアージなどに有効な技術です。
メモリフォレンジックスの利点と欠点
• 利点
–ディスクイメージを確認しなくても攻撃の痕跡を見ることができます –インジェクションされたコードやRootkit を見つけることができます –暗号キーや平文パスワードが残っている可能性があります• 注意点
–メモリイメージは、あくまでもある時点での状態となります –メモリ取得ツールによる証拠への影響を考慮する必要がありますメモリ解析の流れ
• メモリダンプを取得します • OSを特定後にメモリフォレンジックのフレームワークにて解析します • その際にプロセス、ネットワーク通信、キーワード検索などの確認をします メモリダンプの取得 OSの特定 メモリフォレンジック フレームワークを利用した解析
ログの確認方法
Event Log Explorerの場合
１，elex_setup.exeを押下する
２，ツールが開くのでFileのタブを押下する
３、Open Log File＞Standard を押す
４。調査するログのパスを指定する
５，システムのログを指定する
６、ログが表示されるので、左上にあるフィルターを押す
７．Ivent ID欄に調べたいイベントIDを入れOKを押す
８．フィルタリングされた数字にイベントログが表示される
FTK_Manegerの場合
１、FTK_Manegerをダウンロードして展開する
２、FTK Imager.exeを押下してツールを開く
３，File>Capture Memoryを押下する
４、取得先のパスを指定して、Capture Memoryを押下する
Volatilityの場合
１、vlolatility,exeがあるパスで「cmd」と打つ
２，コマンドプロンプトが開く
３「v」を押しTabキーを押すと候補のツールが出てくるので「-h」を入力する
‐hはヘルプ確認コマンド
４、-hを決して「 -f 」 を入れる
５，-fの後に読み取りたいファイルのドラック＆ペーストをする
６，「imageinfo」と入力する
７，推奨されるファイル名が表示される
８，「imageinfo」を消し「--profile=調べたいファイル pstree」と入力する
プロファイルの一覧が出てきてプロセス関係が確認できる
