インシデント対応・フォレンジック重要度:★★★出題: AM2・PM1

メモリフォレンジックとタイムライン分析・ログ保全

めもりふぉれんじっく / たいむらいんぶんせき / Memory Forensics & Timeline Analysis

ディスク上にファイルを残さないファイルレスマルウェアや暗号化鍵・通信ソケットを、電源切断前の揮発性メモリ（RAM）ダンプから抽出・解析する調査技法。

3行速習ポイント

ファイルレスマルウェアはディスクに実行ファイルを書き込まずメモリ上のプロセス（PowerShellや正規プロセスへのDLLインジェクション）だけで動作するため、電源を切ると痕跡が消滅する
メモリダンプからは「実行中プロセス一覧」「確立中のTCP/UDP通信ソケット」「クリップボード」「ディスク暗号化鍵」「注入された悪성コード」を抽出可能
タイムライン分析では、ファイルのMACBタイムスタンプ（Modified / Accessed / Changed / Birth）やイベントログ、プロキシログをUTC等で時刻統一して時系列結合する

図インシデント初動の証拠保全（メモリフォレンジック）とタイムライン分析

11. 電源維持のままネットワーク隔離

初動の鉄則

LAN抜線またはポート遮断・EDR隔離で揮発性メモリを保持

シャットダウンや再起動を行うとRAM上の決定的な証拠が消失するため、電源を入れたまま通信のみを遮断して二次被害と遠隔証拠隠滅を防止

22. 揮発性メモリ（RAM）ダンプ解析

メモリフォレンジック

実行中プロセス・DLL注入・確立中TCP/UDP通信・暗号鍵を抽出

ディスクにファイルを残さないファイルレスマルウェアのプロセス実体や、コマンド履歴・C2接続ソケットをメモリイメージから特定

33. ディスク保全・アーティファクト抽出

ディスク解析

ライトブロッカー経由コピーとPrefetch / レジストリ / VSS解析

原本ディスクへの書込みを防ぎつつハッシュ値で同一性を保証し、削除ファイルのカービングやWindows実行痕跡（Prefetch等）を調査

44. タイムライン統合分析

全体像の解明

MACBタイムスタンプとFW/プロキシ/DNSログをUTC時系列突合

複数機器の時刻・タイムゾーンを統一し、初期侵入から横展開・外部送信までの攻撃者の全行動を時系列で再構成

💡 感染端末の電源を切るとRAM上のファイルレスマルウェアや通信ソケットが消滅するため、「電源を切らずにLANケーブル抜線（または論理隔離）」が鉄則

インシデント発生時に慌ててサーバの電源コンセントを抜いたり再起動してしまうと、RAM上の決定的な証拠が失われます。被害拡大を防ぐための初動では「電源は切らずにLANケーブルを抜く（またはEDRやスイッチのポート遮断でネットワークから隔離する）」ことが鉄則です。

削除されたファイルの復元（ファイルカービング）：ファイルシステム上で削除操作が行われても、未割当領域（アンアロケーテッドスペース）にデータ実体が残っていればヘッダ・フッタ構造から復元可能
プロキシログとDNSクエリログの突合：マルウェアが削除されていても、感染端末がいつどのC2ドメインを名前解決し、どのURLへPOST送信したかをネットワーク側ログから特定
ボリュームシャドウコピー（VSS）やプリフェッチ（Prefetch）、レジストリ（ShimCache/Amcache）：Windows端末において過去に実行されたプログラムの実行痕跡を特定する重要アーティファクト