はじめに 前回の記事の続きです。今回は起動中のWindowsマシンに対する保全を行います。 主にWindowsを起動せざるを得ないケース、ディスク全体やパーティションが暗号化されている場合に採用する方法です。フォレンジックツールによっては暗号化された状態で保全しても、後から復号することもできるそうですが、本記事の手順が最も簡単でしょう。OSが起動した状態での保全になるため、Chain of Custodyを厳密に要求される調査では使用できないかもしれませんが、一般的なインシデントレスポンスではほとんど問題にならないと思います。 FTK Imager Liteの準備 起動中のWindowsマシンに対して保全を行う場合、事前に保全用のツールをUSBメモリやHDDに用意しておく必要があります。このツールは保全先となるHDDに入れておくのが良いと思います。 保全にはFTK Imager Liteを

「Volatility Frameworkを使ったメモリフォレンジック」と言うハンズオンに参加させて頂きました。 1 はじめに 本日は、「第23回北海道情報セキュリティ勉強会」に参加させて頂きました。 https://secpolo.doorkeeper.jp/events/39013 セッションの内容は次の通りです。 Session.1　フリーツールを用いた x86 プログラム解析 トレンドマイクロ株式会社　花岡 弥生 さん Session.2　Volatility Framework を使ったメモリフォレンジックス (ハンズオン) トレンドマイクロ株式会社　平原 伸昭 さん Session.3　北大キャンパスネットワークと私 北海道大学 情報基盤センター 南 弘征 先生 今回は、この２つ目のセッションであった、ハンズオンに参加させて頂いて手を動かした内容を紹介させて頂きます。 講師を務

「メモリフォレンジック」は、まだまだ日本では馴染みが薄い言葉ですが、マルウェア感染やデータ改ざん、脆弱性の悪用などに対して素早く問題を特定する手法として注目を集めています。 この記事では、メモリフォレンジック調査の基本、その利点、フォレンジック企業の選定ポイント、そして調査の実際の活用事例について解説しています。ぜひ参考にしてください。 メモリとはコンピュータの処理速度を向上させるため、CPUやGPUなどの処理装置に直接接続された揮発性記憶装置です。メモリには、OSやアプリケーションの実行状態、プロセスの状態、ネットワークの通信履歴など、一時的な情報が保存されています。どのようなプログラムも、動作している時は、必ずメモリ上にプログラム本体や使用しているデータの読み書きをしているため、メモリの状態を調べることで、プログラムのリアルな状態を知ることができます。 そんなメモリを含めたコンピュータ

メモリフォレンジックツールVolatilityを用いると、メモリから様々な情報を入手することができます。今回は、Windowsのメモリファイルを用いた、解析ツールvolatilityの使い方を紹介します。 準備調査対象のメモリファイル作成テスト用にメモリファイルを作成します。 今回は、Windows 7上でFTK Imagerを使って作成しました。 メモリファイルmemdump.memは、メニューのfile–Capture MemoryでCapture Memoryボタンを押すことで、指定のフォルダに作成されます。 メモリファイル作成volatilityツールのインストールメモリファイルの解析マシンとして、Kali Linuxを使用します。 下記コマンドでツールをインストールします。 sudo apt install volatility -y使い方環境情報を取得、設定する初めにメモリファ

NECサイバーセキュリティ戦略本部セキュリティ技術センターの山田です。 今回は、Microsoft Azure(以降Azure)での脅威検知のテストおよび、ディスクの保全によるフォレンジック作業の流れをご紹介します。 Azureのセキュリティサービスの1つにAzure Security Center(以降ASC)があります。ASCでは、Azure VM、オンプレミス上の仮想/物理サーバー、その他Azureサービスから収集したデータを分析することでISO27001やPCI DSSなどのポリシーに準拠しているかのチェックや、リソースに対するセキュリティ上の推奨事項の提示が行われます。さらに、料金プランをFreeからStandardに変更することでAzure上のVMでのマルウェアの実行や、悪意のあるIPアドレスからのログオンといった脅威検知機能を使用することができます。 ここからは、ASCで脅威

取得したメモリダンプのチェック メモリダンプの解析は、それだけで書籍が１冊書けるほどの内容量があります。 ここでは簡易的なチェック方法を紹介します。 画像ファイルなどの抽出 「Forensics MemDump Extractor｣というプログラムを利用するのが簡単です。 プログラムを起動後に、該当のメモリダンプと抽出したい画像ファイルの種類を選択するだけのシンプルなものです。 文字列の検索 メモリダンプ上に記録されているプロセスや文字列の検索は比較的簡単なものです。 暗号化されたデータについても、メモリ上では復号されていることを逆手に取って、全て文字列でチェックすることができます。 お手軽ツールとして「BinText｣などが便利でしょう。 一例としては「.exe｣でフィルタをするだけで、様々イメージができるのではないでしょうか。 これらの簡易チェックでは、メモリダンプの詳細情報の収集は難

はじめに Forensic UltraDock v5をとある経路で頂いたので早速自宅に持ち帰り、証拠保全をしてみる。 HDDの抜き出し 学生時代に使っていたマシンのHDDを抜き出してみる。 静電気に気を付けて ぽいっと。 WD社製のHDDだったんだね。 つなげてみる 数あるケーブルの中から適合するものを探す。 これや！ なんやかんやあってスイッチON 認識した！ モデル番号 シリアル番号 とりあえずホストマシン（Windows 10）につなげてみたところ。 Windowsでも特にドライバなしで自動的に認識しているみたい。 ちょっと実験 Write protectが回路的に行われているので、意図しない書き込みが起こることはない。 試しに、パーティションの削除をしてみた。（もし消えても痛くないし、消えたら販売元を訴えよう） 消えなかった。 ではここでFTK Imagerの出番。 イメージの保全

セキュリティ事故対応に備えて知っておきたい「ディスクコピー」の手順：セキュリティ教育現場便り（7）（1/2 ページ） セキュリティ教育に携わる筆者が、今本当に必要なセキュリティ教育を解説する本連載。第7回では「証拠保全」の方法を、具体的なツールの操作手順とともに解説します。 連載目次 情報セキュリティ事故が起きたときには、証拠となるPCやデータを確保し、分析を行う必要があります。今回は前回に引き続き、そんな分析に役立つディスクコピーツールの使い方を紹介します。また、ディスクのコピー作業やログの分析を行う担当者に求められる「事故対応中の心構え」についても解説します。 証拠保全に利用できるツールその2――「FTK Imager」 前回は、メモリのコピーを取得できる「DumpIt」を紹介しました。今回は、ディスクとメモリの両方のコピーを取得することができる「FTK Imager」を紹介します。

このうち、例えばメモリ内のデータは、OSをシャットダウンすると消去されるため、「揮発性情報」と呼ばれます。メモリ解析によって、必ずしも事故対応の決定打となる情報を得られるわけではありませんが、メモリにしか痕跡が残らないような被害を受けた場合、OSのシャットダウンで証拠が消えてしまいます。 そのため、コンピュータが起動している状態で証拠となるコンピュータを確保できた場合は、電源を落とさずにメモリ内のデータを維持することを検討します。加えて、そのままでは被害が広がる可能性がある場合は、コンピュータをネットワークから切り離します。厳密にはネットワークからの切り離しによってもメモリ内の情報は変化し、一部が消失してしまうのですが、被害拡大の防止を目的としている場合は必要な対処です。 なお、ネットワークから切り離すコンピュータがサーバ系で、ログのローテーション（ログファイルのバックアップと初期化の自動

全般 ＃今こそ考えよう 情報モラル・セキュリティ 児童・生徒向けオンライン学習ツール 情報セキュリティ・ポータルサイト「ここからセキュリティ！」 官民の情報セキュリティコンテンツを集約したポータルサイト パスワード －もっと強くキミを守りたい－ I Love スマホ生活 ひろげよう情報セキュリティコンクール サイバーセキュリティのひみつ チョコっとプラスパスワード 企業・組織 情報セキュリティ自社診断 (1) 《入門編》5分でできる！情報セキュリティ自社診断 入門レベルとして自社が最初に取り組むべき情報セキュリティ対策を把握するための診断ツールです。 (2) 《基本編》情報セキュリティ対策ベンチマーク 組織の情報セキュリティマネジメントシステムの実施状況を自らが評価する自社診断ツール (3) サイバーセキュリティ経営可視化ツール サイバーセキュリティの実践状況を企業自身がセルフチェックで可