インシデント対応ツールの基礎知識「FTK Imager Lite」に触れる・メモリダンプの活用

取得したメモリダンプのチェック

メモリダンプの解析は、それだけで書籍が１冊書けるほどの内容量があります。

ここでは簡易的なチェック方法を紹介します。

「Forensics MemDump Extractor｣というプログラムを利用するのが簡単です。

プログラムを起動後に、該当のメモリダンプと抽出したい画像ファイルの種類を選択するだけのシンプルなものです。

メモリダンプ上に記録されているプロセスや文字列の検索は比較的簡単なものです。

暗号化されたデータについても、メモリ上では復号されていることを逆手に取って、全て文字列でチェックすることができます。

お手軽ツールとして「BinText｣などが便利でしょう。

一例としては「.exe｣でフィルタをするだけで、様々イメージができるのではないでしょうか。

これらの簡易チェックでは、メモリダンプの詳細情報の収集は難しいので、ちょっとした確認程度として活用しましょう。

証拠保全対応の1つとして、ハードディスクなどの物理イメージの取得があります。

物理イメージからの攻撃者に削除されたデータの復元率も比較的良いため、今や多くの企業が取り入れており、緊急時対応計画に組み入れているところもあります。

しかし、近年ではSSDやフラッシュメモリを利用するPCも多いことから、必ずしもハードディスクと同じ結果が得られるとは限りません。

具体的には、削除データ復元率に若干の違いがでることがあります。

これもFTK Imager Liteを使うことで、メモリダンプと同様に簡単に取得することができます。

FTK Imager Liteを管理者権限で起動し、「File｣→｢Create Disk Image｣メニューを選択

証跡の種類(Evidence Type)を選択する画面が表示される

被害PCから物理イメージを取得する際は、「Physical Drive｣(物理ドライブ)を選択

「Source　Drive　Selection｣で取得するドライブを指定

「Finish｣をクリック

｢Add｣を選択すると、「Select Image Type｣が表示される

4つの選択肢があるが、「Raw(dd)」と｢E01」でほぼまかなえるでしょう。

好みで選択すればよいですが、汎用性の面から｢Raw(dd)｣の選択が無難でしょう。

次に進むと、ケース番号や名前などの情報入力画面が出るので、情報を入力する。

「Raw(dd)」：原本とハッシュ比較し取得しているので、取得元の原本とほぼ同じ物理イメージを得ることができる
「E01」：Encase証拠ファイル形式のこと。Encaseとは有償解析ツールの名。ハッシュの他に、CRC（巡回冗長検査）によるエラーチェックが行われる。Raw(dd)よりも信頼性が高く、圧縮可能である事が特徴