SCIS 20162016 Symposium on
Cryptography and Information Security
Kumamoto, Japan, Jan. 19- 22, 2016
The Institute of Electronics,
Information and Communication Engineers

Copyright© 2016 The Institute of Electronics,
Information and Communication Engineers

公判対応を前提としたメモリ・フォレンジック有用性の考察
Usefulness of memory forensics for the examination of evidence
野上 紘*
Hiroshi Nogami

田中 英彦*
Hidehiko Tanaka

あらまし 近年, サイバー犯罪による被害は増加の一途をたどり, その攻撃手法は高度化・巧妙化してきている. これらの犯罪に対し法執行機関では, デジタル・フォレンジックを駆使し, 攻撃者の特定及び犯行の全容解明に努めている. しかし, ハードディスクを対象とした従来の解析だけでは発見が困難なマルウェアや秘匿技術の登場により, 新たな解析手法の整備が求められている. そこで本研究では, 国内外で研究が進められているメモリ・フォレンジック手法に着目し, 同手法で得られる情報の精査及び, 同手法によって解明が期待される事項を明らかにすることで, メモリ・フォレンジックの有用性を示した. また, 法執行機関が公判で証拠として使用する際に重要となるツールの信頼性について, 自由心証主義の観点から考察を行った.

1
1.1

キーワード

サイバー犯罪, メモリ・フォレンジック, 証拠能力

研究の背景

表 1

サイバー犯罪の現状

不正アクセス行為の認知件数

年次
区分
認知件数(件)
海外からのアクセス
国内からのアクセス
アクセス元不明

サイバー犯罪の現状として, 表 1, 2 に平成 22～26
年における不正アクセス行為の認知件数及び検挙件数等の推移, 表 3 に不正アクセス行為後の内訳を示

表 2

す. 平成 26 年に着目すると, 認知件数が 3545 件と

平成
22
1,885
57
1,755
73

区分
検挙件数
不正アクセス
検挙事件数
行為
検挙人員
検挙件数
識別符号提供検挙事件数（助長）行為
検挙人員
検挙件数
識別符号
検挙事件数
取得行為
検挙人員
検挙件数
識別符号
検挙事件数
保管行為
検挙人員
検挙件数
フィッシング
検挙事件数
行為
検挙人員
検挙件数
（件）
検挙事件数
計
（事件）
検挙人員
（人）

件と 62.9%減少しており, 検挙率の低下が懸念されている. また, 不正アクセス行為後の内訳を見ると,インターネットバンキングの不正送金が 1944 件, 次いで他人へのなりすましが 1009 件と, 上位２項目で全体の 83.3%を占め, 日常の生活に必要不可欠であるインターネット利用のリスクが拡大していることがわかる[1].
こうした現状から, 法執行機関には犯罪の全容解明による被害防止・予防が求められており, そのための情報収集及び分析には, デジタル･フォレンジックと呼ばれる手法が用いられる.
*情報セキュリティ大学院大学 〒221-0835 神奈川県横浜市

神奈川区鶴屋町 2-14-1. INSTITUTE of INFORMATIONSECURITY, 2-14-1, Tsuruya-cho, Kanagawa-ku
Yokohama-shi, Kanagawa, 221-0835, Japan.

1

平成
24
1,251
122
987
142

平成
252,951
289
2,474
188

平成
26
3,545
298
2,469
778

検挙件数等の推移

年次

前年に比べ 20.1%増加した一方で, 検挙件数が 364

平成
23
889
110
678
101

平成
22
1,598
103
123
334

平成
23
242
101
110
666

平成
24533
133
151
4
4
4
2222222
11

平成
25968
142
144
7
7
72
1
1222
111

平成
26
338
141
150
0
0
0
16
5
15
2
22
8
6
6

1,601

248

543

980

364

106

107

142

153

154

127

116

160

155

173

表 3

不正アクセス行為後の内訳

年次
区分
インターネットバンキングの不正送金
他人へのなりすましインターネットショッピングの不正購入
情報の不正入手オンラインゲーム, コミュニティサイトの不正操作
ホームページの改ざん・消去
インターネット・オークションの不正操作
不正ファイルの蔵置
その他
計（件）

1.2

1.4

平成
平成25261325 1944
26 1009911
20992177379
13010740361320155222951 3545

従来の手法と課題

従来のデジタル・フォレンジックの手法では, 主に HDD 内の情報が対象であった. これは, 図 2 に示すコンピュータの基本構造に由来しており, HDDに記録されているプログラムやデータは, 使用される際に主記憶装置（以下, メモリと称する）を経由して, 中央処理装置で処理され, 再び HDD に戻されることから, 調査対象の情報は HDD に残されてデジタル・フォレンジックいると考えたためである.
その一方で, 2011 年に登場した「Duqu」というデジタル・フォレンジックとは, コンピュータを利マルウェアは, 期間限定で動作した後, 自己消滅す用した犯罪が発生した場合に, コンピュータに記録る機能を有しており, HDD のみの解析には限界がされたログやファイルシステム情報などの電磁的記あることを感じさせた. その後も, HDD に痕跡を録を調査・分析する技術で, 犯行日時の特定や被害の残さないマルウェアの登場や, InPrivate ブラウズ原因究明に用いられる.

（Internet Explorer）といった, Web 履歴や cookie

電磁的記録は, 刑法第 7 条の二において「電子的方情報を HDD に残さない技術など, 従来の手法だけ式, 電磁的方式その他人の知覚によっては認識するでサイバー犯罪の全てを明らかにすることは困難にことができない方式で作られる記録であって, 電子なってきている[3].

計算機による情報処理の用に供されるものをいう」と定義されている. 取得した電磁的記録は, 証拠化の手順を踏むことで, 証拠として使用できるようになる.

1.3

電磁的記録の証拠化の流れ

電磁的記録の証拠化の流れを図１に示す[2]. コン
ピュータ利用犯罪の発生を認知すると（①）, 捜査により犯人を特定し, 犯行に使用されたコンピュータ

図 2を確保する（②）. 次に, 確保したコンピュータから補助記憶装置（以下, HDD と称する）を取り出し, 空

1.5の HDD に複写して, 解析用 HDD を作成する（③）.

コンピュータの基本的構造[2]研究の目的

従来のデジタル・フォレンジックを補う形で, そ作成した解析用 HDD に対して, 各種解析ツールを駆の効果が期待される手法に, メモリ・フォレンジッ使し, 情報の調査・解析を行い（④）, 得られた情報クがある. その名の通りコンピュータのメモリに記を報告書にまとめ, 公判に証拠として提出する.

録された情報を対象とする手法であり, 国内外で研究が行われている. しかし, 法執行機関での導入は進んでおらず, 実際に何がわかるのか, どう使えるのかという声も多い. そこで本研究では, メモリ・フォレンジック手法普及のため, メモリ・フォレンジックで得られる情報の精査及び, メモリ・フォレンジックを行う場面を想定しての実証実験を行うこ

図 1とで, 同手法の有用性を示す.

証拠化の流れ2

また, 法執行機関がメモリ・フォレンジックの結れる. その他メモリ・フォレンジックが活用できる事

果を証拠として使用する際, 使用したツールの信頼項として以下のものが挙げられる.

性が重要となることから, 自由心証主義の観点より

・InPrivate ブラウズの履歴（プロセスの履歴）考察を行う.

・ログインパスワードの特定（展開中のレジストリ）

メモリ・フォレンジック

2
2.1

2.4

メモリ・フォレンジックとはオンラインとオフラインの違い

稼働中のコンピュータを直接操作し, オンライン

メモリ・フォレンジックとは, コンピュータのメで情報を収集するライブフォレンジック手法に対し,モリ上に展開されているプログラムやデータを, １

メモリ・フォレンジックでは, メモリ上のデータをダつのファイルに出力（以下, ダンプと称する）する

ンプして保全することで, 現場を離れた後でもオフことで証拠保全を行い, 同ファイルの解析を行う手ラインで解析を行うことできる. ダンプファイルは法である. HDD に保存されない情報であっても, メ繰り返し利用でき, 後から現場の状況を再現できるモリ上であれば存在している可能性が高く, 今後のことが利点と言える. その他にも, 調査対象コンピュ解析手法として期待されている. また, 稼働中のコンータとは別のコンピュータで解析が行えることで,ピュータを直接操作し, オンラインで情報を収集すマルウェアによる改ざん・隠ぺいの影響を受けにくいるライブフォレンジック手法と比べ, メモリ・フォことや, オンラインでは確認できない, 解放済みのメレンジックはダンプファイルの取得で証拠保全がでモリ領域も調査できるという特徴がある.

き, 後から別のコンピュータで当時の状況が再現できるという利点がある.

2.2

HDD とメモリの違い

2.5

メモリ情報の取得と解析

2.5.1.

取得

メモリのダンプを行うツールとして, デジタル・フォレンジック研究会の作成する証拠保全ガイドライ

メモリ上の情報は, 揮発性情報と呼ばれ, コンピュンで紹介されているツールを表 4 に示す[4].

ータの電源を落とすことで消えてしまう一時的なデータも含まれている. そのため, HDD に痕跡を残さ本研究では, 先行研究の検証結果を参考とし, シスないマルウェアであっても, メモリ上には関連するテムへの影響及び性能から, FTK Imager Lite を使用

プログラムやプロセスの記録が残されている可能性

する[5].

表 4が高く, 解析の一助となり得る. 具体的な情報としてメモリ情報の取得ツール

ツール名

説明

Magnet RAM Capture

物理メモリのキャプチャや, データの復旧及び解析ができるフリーツール.

・カーネルの動作状態

MoonSols Windows
Memory Toolkit（DumpIt）

メモリの取得や変換を実行するために必要なユーティリティを含むツール.

・展開中のファイルやレジストリ

FTK Imager Lite

ハードディスクの情報の参照や,メモリダンプの出力,VMなどのイメージファイルの読み込みなどを行うツール.

は, 以下のものが挙げられる.
・ネットワークの接続状況
・プロセスの状態や履歴

2.3

メモリ・フォレンジックに求めるもの
2.5.2.

解析

メモリ・フォレンジックに期待される事項として,ダンプファイルを解析するツールとして, 証拠保

ネットワーク接続状況が挙げられる. いつ・どこと通全ガイドラインで紹介されているツールを表 5 に示信が行われたかという通信状況は, 揮発性情報であす[4].

り HDD には記録されないためである. 不正アクセス

本研究では, 無償であることを最優先とし,事件等において, 通信先・通信時間の特定は犯罪捜査

Redline と volatility を使用する. 増加するサイバーの大きな手がかりとなり, その情報確保が強く望ま
3

証拠能力

犯罪の現状を鑑みると, 高価なツールを１台導入し,3一極集中で解析を行うのではなく, 各現場において3.1解析が行える体制作り必要であり, コストのかから裁判における証拠の評価は, 民事・刑事事件ともにない無償ツールが望まれる.

表 5
ツール名
EnScript

裁判官の自由な判断に委ねるとする自由心証主義がメモリ情報の解析ツール取られている. ただし刑事訴訟には, 国家が一般市民

説明
Volatility Frameworkをベースにして, 64ビット対応やキーワードサーチ機能などEnCaseの特徴を生かして改良されたもの.の権利を制限する手続きであるという特性から, 以下の制限が設けられ, 適切手続きの保証が強く求められている[11].

HBGary社によって開発・販売されている商用のメモリ・フォレンジックツール. オプション機能としてHBGary提供されるDigital DNAは, プロセスアドレス空間にResponder含まれるコードを分析して, 悪性のコードかどうかをスコアリングする.

・自白法則
・伝聞証拠排除法則
・違法収集証拠排除法則

Mandiant社によって開発されているフリーツール.
同社で開発されているMemoryzeという解析ツールのGUIフロントエンドとして使われている.

Redline

自由心象主義3.2

オープンソースのメモリ・フォレンジックツール.
Volatility
プロセス情報の列挙など基本的な機能のほか,Framework
有志によって様々なプラグインが提供されている.

公判で使用できる条件

自由心証主義の制限において, メモリ・フォレンジックで扱う電磁的記録に関連するのは, 違法収集証

2.6

ツールの信頼性に関する国内外の現状拠排除法則であり, 以下の２点の証明が重要であると考えられる.

ツールを使用する上で議論されるのが, 動作に問

(1) 適正に収集された情報か題はないかといった信頼性についてであり, その確・任意又は強制手続きが適正に行われたか保について国内外で取込みが異なる.

(2) 同一性は担保されているか

米国では, 米国国立標準技術研究所（National Ins・コンピュータへの影響が考慮されたか

titute of Standards and Technology, NIST）の実・どのコンピュータから取得して, どのように保管施するプロジェクト CFTT（Computer Forensics Tされ, どのように使用されたか

ool Testing）によって, フォレンジックツールの評価

これまでの HDD を対象とした解析では, 写真撮影試験が行われており, その結果を公開することで, ツや報告書で適正さ・同一性を確保していた. これに対ールの信頼性が保証されている[6]. しかし, メモリ・し先行研究では, メモリ上の情報は揮発性という特フォレンジック関連のツールについては未実施の状徴があるものの, 取得の際のコンピュータへの影響況であった. また民間では, 有償・無償ツールの性能を把握しておけば, 従来と同様の方法で適正さ・同一比較等が行われているが, ほとんどが証拠保全工程性が確保できるとしている[5].のものであり, 解析工程の検証は行われていない[7]しかし, 一般的な見方では, 客観的な同一性の確保[8].

が不十分と取られることがあり, 従来の方法に加え一方国内では, 暗号化ファイルの復号技術に関すて, 同一性を担保するための技術・手法が求められる.

る研究といった特定分野にメモリ・フォレンジックがメモリ情報の解析の流れを図 3 に示す. 同一性を検使用されているが, ツール自体の評価は行われてい討する範囲によって考え方が異なり, 例えば①の箇ない. また企業などで検討が行われている可能性が所では, 一度しか書き込めない記録媒体にメモリダあるが, その情報は非公開であり, 信頼性確保に向ンプを保存する, といったハード面での検討が考えけた取り組みとしては十分といえない状況であるられる. また全体を見た②では, 米国法における「保[9][10].

管の連続性」の概念を取り入れ, 従来の方法を補うといった手続き面での検討が考えられる.
4法にて得られる情報に差異がないか, 合わせて調査を行った.
4.1.1.

想定・攻撃者に侵入されている状況
・InPrivate ブラウズ（Internet Explorer11）でウェブ閲覧している状況

図 3

3.3

メモリ情報の解析の流れ証拠として求められるもの

図 4

メモリ上の情報が証拠として認められ, ダンプフ

4.1.2.

ァイルが適正に取得できたとして, 次に議論される

実験想定

手順

(1) FTK Imager Lite にて, 対象コンピュータのメモのが解析に使用するツールの動作保証である. 法執リ上の情報をダンプする.

行機関が独自に開発したツールや, メーカーによっ(2) ダンプファイルを, Redline 及び volatility で読みて動作が保証されたツールであれば, 公判で証拠能込んで解析する.

力が問題となった際に, 必要に応じて出廷し, その信頼性を証言すればよい.

4.2

実験結果

一方, フリーツール等では, 開発元が不定または不実験により判明した, メモリ・フォレンジックで得明確であり, 動作の保証が得られないことから, 自由られる主な情報を以下に記載する.

心証主義において, その証拠能力が否定されかねな(1) プロセスの一覧

い. その点, 本研究にてツールにより得られる情報のプロセスの開始・終了時間や親子関係が判明するこ精査を行い, 実際に設定した情報と一致するかを検とにより, マルウェアに隠ぺいされたプロセスや, 通証することは, ツールの動作保証へとつなげること

常とは異なる呼び出しがされたプロセスなどの解析ができる一つの方法として有効ではないかと考えた.

が可能となる.

ツールの信頼性を高めることは, 証拠能力を裏付け(2) ネットワーク接続状況ることにつながると考えられる.

接続開始・終了時間や接続 IP, ポート番号, 使用プ

4

実証実験

ロセス名が判明することにより, マルウェアの通信

4.1

実験環境日時や通信先等が調査でき, 犯行の特定につなげることが可能となる.

メモリ・フォレンジックにより得られる情報の精査(3) メモリページのダンプ(volatility)

及び, 想定した状況で,期待する情報が得られるか明プロセスが読み込んでいるファイルの抽出が可能確にするため, 以下の想定及び手順にて実験を行っとなる. メモリ上であれば, ファイルが暗号化されてた[12][13]. なお volatility は, コマンドライン又はいる心配はなく解析が容易になる.

GUI（KaniVolatility）での操作が可能であり, 操作方
5

(4) キャッシュファイルの復元(volatility)ることが利点といえる. またコマンドラインと GUI

メモリ内に存在するブラウザ履歴が抽出できるこでの実行結果に大きな差異はなく, 利用者の好みにとで, InPrivate ブラウズ等の技術により HDD に保合わせて使い分けることができる. ただし, 対象の存されない情報の解析が可能となるOS によっては, 使用できないコマンドがあることにその他の情報を以下に示す.

注意が必要である.

(5) 各プロセスに読み込まれた DLL の一覧

表 7(6) 各プロセスが開いているハンドルの一覧

カテゴリ コマンドvolatility の出力項目（一部）
cmd GUI 判明する情報システムプロセスID, 仮想アドレス○ △物理アドレス, サイズ, オフセット(7) デバイスの一覧

memmap(8) ドライバモジュールの一覧

memdump○○メモリ内に存在するプロセスのメモリページをダンプ

procdump○○

メモリ内に存在する実行形式ファイルをダンプ

vadinfo○○

Rotate Virtual Address Descriptor(VAD)構造のメモリ領域の情報を表示

vadwalk○○ VADノードテーブルを表示

vadtree○○ VADノードテーブルをツリー表示られた. 理由として, Redline は自身の機能でメモリvaddump○○

ダンプを取得し, 解析を行うことができるツールのevtlogs

×× Win7SP1x86は対象外

iehistory△△ エラーは表示されないが, 出力されず

4.2.1.

Redline の特徴

プロセス
メモ
リ

Redline で判明する情報を表 6 に示す. Redline は,１つのカテゴリに対する項目数が多く, 情報が集めやすそうに見えるが, 実際には空欄の項目が多く見ため, 他のツールで取得したメモリダンプでは, 本来の機能を十分に発揮できないと考えられる. 今回のネットワーク

実験においても, メモリダンプを読み込む際に, 独自形式に変換して取り込んでいる様子が見て取れた.
なお, Redline でメモリダンプを取得するには, あらかじめ対象の端末にインストールしておく必要があり, 事件現場等には不向きといえる.

表 6

Redline の出力項目（一部）× Win7SP1x86は対象外

connscan×× Win7SP1x86は対象外

sockets

×× Win7SP1x86は対象外

sockscan×× Win7SP1x86は対象外

netscan○○

オフセット(物理アドレス), プロトコル名
接続元情報（IPアドレスとポート番号）
接続先情報, 接続状態, プロセスID
所有者, 作成時間

×:情報取得不可（エラーメッセージが表示）

4.3

プロセス名, MRIスコア, プロセスID,パス, 実行時の引数, ユーザ名, 開始時間,プロセス カーネル時間経過, ユーザ時間経過,非表示の有無, セキュリティID, セキュリティID種別,親プロセス名, 親プロセスID

4.2.2.

connections ×○:情報取得可能, △:情報取得不可（原因調査中）

カテゴリ 判明する情報

ポート

メモリ内に存在するVADのメモリページをダンプ

想定に対する実証

ネットワーク接続状況については, Redline の「ポート」カテゴリ, volatility の「netscan」コマンドにて, B から A への接続 IP や開始時間等が確認でき

プロセス名, プロセスID, パス, 状態, 作成時間,IPアドレス, ポート番号, リモートIPアドレス,リモートポート番号, プロトコル種別

た. 一方, InPrivate ブラウズの履歴については, 両ツール共に確認できなかった. 特に volatility には「iehistory」という専用のコマンドが存在することか

volatility の特徴

ら, 出力されない原因を調査していきたい.

volatility で判明する情報及び実行結果を表 7 に示

5す. コマンドラインでの操作を「cmd」,GUI での操作を「GUI」と記載し, 項目ごとの実行結果を示していまとめ
本研究では, メモリ・フォレンジックで得られる情る.

報の精査及び, メモリ・フォレンジックの実証実験に

volatility は, 他のツールで取得したメモリダンプより, 何がわかるか, どう使えるかを明らかにするこであっても十分な情報が得られる他, 様々なプラグとで, メモリ・フォレンジックの有用性を示した. 使インが用意されており, 用途に合わせた解析が行え用するツールにより得られる情報の違いや, 注意点
6

nist.gov/〉(accessed 2015-08-26)などを認識することで, メモリ・フォレンジックを行[7] Manson,D., Carlin,A., Ramos,S., et al.:Is theう際の一助となることを期待する.
また, 自由心証主義の観点から, ツールに求められOpenWay a Better Way? Digital Forensics using

る信頼性の考察を行い, ツールにより得られる情報

Open Source Tools, Proc.The 40th Annual Hawaiiの精査と実際に設定した情報と一致するかを検証すInternationalることで, 動作保証を図る考え方を示した. しかし,Sciences(HICSS'07), pp.266b, IEEE (2007).

ConferenceonSystem[8] Aljaedi,A., Lindskog,D., Zavarsky,P., et al.:

証拠能力の前提となる, 客観的な同一性の確保が不十分であることから, ハード面, 手続き面での検討をComparative

AnalysisofVolatile

Memory継続して行う必要がある.

Forensics Live Response vs. Memory Imaging,

今後の課題として, メモリ・フォレンジックの活用

Proc.2011 IEEE International Conference on

事例を増やすことが挙げられる. 本研究における調Privacy, Security, Risk, and Trust, and IEEE

査時点では, 現場にメモリ・フォレンジックが浸透しInternational Conference on Social Computing ,ておらず, 現場からの意見を反映させることができ

pp.1253-1258, IEEE (2011).

なかった. 本研究の結果を提示後に, 改めて調査し,[9] 竹林康太, 上原哲太郎, 佐々木良一: ライブフォ

現場の要望に応じた想定実験を行うことで, メモリ・レンジックを用いた暗号化ファイル複合技術の開フォレンジックの有用性をより強く打ち出し, 普及

発, 研究報告コンピュータセキュリティ(CSEC),へとつなげていきたい.

Vol.2015-CSEC-68, No.38, pp.1-6 (2015).
[10] 天野 貴通, 上原哲太郎, 佐々木良一: デジタ

参考文献[1] 警察庁: 平成 27 年警察白書

ル・フォレンジックのためのガイドライン総合支援
統計資料, 警察庁

システムの提案と開発, 情報処理学会論文誌,Vol.5(オンライン), 入手先〈https://www.npa.go.jp/

6, No.9, pp.1889-1899 (2015).

hakusyo/h27/data.html〉(参照 2015-09-07)[11] 高橋郁夫, 梶谷篤, 吉峯耕平, 他: デジタル証拠[2] 特定非営利活動法人デジタル・フォレンジック研の法律実務 Q&A, 日本加除出版 (2015).

究会(編): 佐々木良一, 舟橋信, 安冨潔: 改訂版デ[12] FireEye, Redline User Guide Release1.14,

ジタル・フォレンジック辞典, 日科技連出版社 (20FireEye(online), available from〈https://www.

14).

fireeye.com/content/dam/fireeye-www/services/[3] 羽室英太郎, 國浦淳: デジタル・フォレンジック

freeware/ug-redline.pdf．〉(accessed 2015-08-27).
[13] GitHub, volatility Command Reference,概論～フォレンジックの基礎と活用ガイド～,
東京法令出版 (2015).

GitHub(online), available from〈https://github.

[4] デジタル・フォレンジック研究会, 証拠保全ガイ

com/volatilityfoundation/volatility/wiki/

ドライン 第 4 版, デジタル・フォレンジック 研究

Command-Reference〉(accessed 2015-9-14)

会(オンライン), 入手先〈https://digitalforensic.jp/wp-content/uploads/2015/04/idf-guideline-420150402.pdf〉(参照 2015-07-08).
[5] 今野直樹, 田中英彦: ライブフォレンジックにおける有効性の検討及び具体的実施手法の提案,第 14回情報科学技術フォーラム,No.4, pp.205-212(2015).
[6] NIST: Computer Forensics Tool Testing,NIST(online), available from〈http://www.cftt.
7