T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

AVTOKYO の開催や国際 CTF 大会への挑戦を通してセキュリティ・コミュニティをリードしてきた

tessy（寺島崇幸）インタビュー… …………………………………………………………… 3
社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2023.10………………………………… 9
セキュリティツールを実践的に紹介する連載企画

Let's Try Windows システム確認 !   2. プロセス確認編……………………………………… 10●はじめに
本文書は、株式会社日立システムズ サイバーセキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security
Research Center) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. https://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2023. All rights reserved.

2

AVTOKYO の開催や国際 CTF 大会への挑戦を通して
セキュリティ・コミュニティをリードしてきた

tessy（寺島崇幸）インタビュー

取材・文＝吉澤亨史
撮影・編集＝斉藤健一

セキュリティ・コミュニティ内で有名なイベントの 1 つが AVTOKYO だ。
「no drink, no hack」を標榜し、コミュニティ主導で企画・運営されている。今回、話を伺う tessy こと寺島崇幸氏は、AVTOKYO の企画・運営の中心にいる人物。2000 年代初頭よりコミュニティ内で積極的に活動を続
け、CTF チームを結成。DEFCON CTF 本戦への出場を数回にわたり実現したり、マレーシアで開催された国際大会では 2 度の優勝を果たしたりするなど、数々の成果を残してきた。今回は、tessy
さんの話を通じて、
セキュリティ・コミュニティを振り返りつつ、
11 月開催の AVTOKYO2023 の話題、
そして tessy さん自身の信条などについても触れてみたい。
3たまたま入った会社がセキュリティだった
吉澤（以下）：まず、tessy さんの経歴についてお願いします。
tessy（以下）：大学は北海道で、しかも農学部でした。特に農業をやりたかったというわけではありませんでしたが、トラクターなどの農業用機
械や農産物加工などについて学びました。卒業後に就職したのは自動車の部品を CAD で設計する企業でした。情報系には全く縁がなかったのです

寺島崇幸（てらしま・たかゆき）

が、学生時代に触れたインターネットに携わる仕2001 年からネットワーク、システムのセキュリ事への思いが強くなり、ネットワーク系の企業にティなどの仕事に携わる。現在は株式会社ディ

転職することにしました。

アイティに勤務。DEFCON CTF 本戦にはじめて出

それはいつ頃のことですか。

場した日本チーム sutegoma2 のリーダーを務め2001 年のことです。そして、この企業がセキュる。2008 年よりコミュニティ主導によるセキュ

リティをサービスとして立ち上げることとなり、リティイベント AVTOKYO を主催。2012 年より勉強会に参加したり、書籍を読んだりして研さん

SECCON 実行委員会に参画。副実行委員長を経て、を始めました。これがセキュリティとの最初の関

現在はアドバイザーを務めている。

わりです。
たまたま入った会社でセキュリティに関わった

動されていたかと思います。まずこのチームにつことがきっかけ、というのも興味深いですね。

いて教えてください。

入社した当時はネットワークの知識しかなく、2002 年頃、仲の良い 5 ～ 6 人の仲間で活動しNmap さえわからない状況でした。ですが、セキュていました。そこには、私のほかにもう 1 人の「寺リティ診断やセキュリティの教育コンテンツを島」さんがいて、ダブル寺島だったわけです。チー

作ったり、実際に教えたりしていました。セキュ

ム名を考えるときに、最初は「T 島」という案もリティプロダクトの部署はあったのですが、新た出たのですが、「島」だと面白くないということにサービスを作るということで、未経験でしたがで「T 鳥」となり、それが「チドリ」になったのいろいろなことに挑戦しました。

です。

業務以外の活動はいかがでしたか。

Twitter（現：X）のアイコンに家紋の「千鳥紋」

日経 BP が主催する「WPC EXPO 2002」の中でが使われていますが、そういったいきさつがあっ「セキュリティ・スタジアム 2002」というイベンたのですね。

トに参加しました。一般から応募した参加者たちは い。 チ ド リ で 初 め て DEFCON に 参 加 し たが「攻撃」「防御」「検知」の 3 つのクラスに分かの が 2005 年 で し た。 こ の と き は ま だ CTF に はれ、腕を競い合うものでした。これを皮切りに、参戦せず、仲間でワイワイと楽しんでいました。

さまざまなセキュリティイベントに参加し始めまDEFCON には、「WALL of SHEEP」というコーナーした。また、ブログでセキュリティ情報などを発があり、暗号化せずに通信している人のパスワー

信するうちに、知人も増えていきました。

ドが会場にさらされます。私たちはこれを逆手にとり、平文でパスワードを送ってしまったふりを

CTF への挑戦はして架空アカウントのパスワードを表示させる遊DEFCON というお祭りをより楽しむため

びをしていました。
なるほど。発想の逆転ですね。

2000 年代、tessy さんはチームチドリとして活CTF に は 翌 年 の 2006 年 か ら 参 加 し ま し た。
4

DEFCON というお祭りをもっと楽しみたいというトをたくさん持っているチームの方が有利だっ気持ちからです。これも飲み会の席で「出よっか」た の で す。 そ こ で、sutegoma、sutegoma2、3、という軽いノリで決まったのです。

4、5 と数多くのアカウントを作っていたのです

もともと海外に行く機会は多かったのですか。

が、CTF 運営側のトラブルで多くのアカウント

実は海外は苦手でした。2000 年頃、最初の会が消えてしまったことがありました。そんな中、社で 2 ヵ月間ほどアメリカとベルギーに行かされ

sutegoma2 だけが残ったのです。

たのですが、嫌で嫌でしかたありませんでした。

それは幸運でしたね。

現在の tessy さんからは想像できない答えです

はい。これは縁起がよいということで、そこかね。

ら sutegoma2 がチーム名となりました。後々にこの気持ちが変わったのは、自身でセキュリなって「私たちは若い人たちの捨て駒、踏み台にティ情報を収集するようになってからです。セなる」という意味ですと語るのですが、きっかけ

キュリティ業界では、一次情報は海外からの発信はそんな形でした。

がほとんどです。また、海外のカンファレンスに

sutegoma2 の戦績について教えてください。

行けば、Windows の脆弱性の話を発見者から直結成 4 年目の 2011 年に DEFCON CTF 予選で 2

接聞くこともできます。そこで、2006 年ごろから、位になり、初めて本戦に出場しました。このときマレーシアのセキュリティカンファレンスに行くは、多くの方々に支援していただきました。結果ようになったのです。実は、当時在籍していた会は残念ながら最下位でしたが、同年の 10 月には社が倒産し、半年間ほど自由の身だったという理マレーシアの CTF で優勝しました。マレーシアで由もありましたが。

は 2 回優勝しています。

そういった経緯があったのですね。

sutegoma2 は日本の CTF プレイヤーの底上げ

マレーシアのセキュリティカンファレンスでにも寄与したといえますが、当時に比べて、現在は、CTF も開催しているのですが、DEFCON とはの日本人プレイヤーのレベルは上がりましたか？

違い、当日会場に行けば参加できるものでした。

何をもって判断するのかは難しいですが、国際「出場して腕試ししたい」と、毎年、いろいろな

CTF 大会への参戦は sutegoma2 の活動によって人に声をかけて参加しました。実際に、日本から広がった側面はあると思います。DEFCON CTF やチームとして出場したのは sutegoma2 になった

韓国の CODEGATE CTF などで決勝戦に駒を進めときでした。

ることで、多くの経験を積んできました。このこ

sutegoma2 になったのは、いつ頃でしたか？

とが、「binja（ビンジャ）」や「Tokyo Westerns」

sutegoma2 をチーム名としたのは 2008 年からをはじめとする次世代のチームへとつながっていです。これまでチドリで DEFCON CTF 本戦出場をると考えます。

目指していたのですが、やはり世界の壁は高く、なかなか予選を突破できずにいました。そんなとBlackHat Japan の後夜祭から始まったき、「DEFCON CTF プロジェクト」として本戦出「AVTOKYO」

場を目指す機運がコミュニティ内で高まってきたのです。それまでの複数チームを一本化した合同

それでは本題の AVTOKYO ※ 1 についてお聞きチームの結成や、勉強会の本格化などに取り組んします。アーカイブ※ 2 を見ると 2008 年からとなっでいきました。

ています。

その合同チームが sutegoma2 なのですね。

も と も と、BlackHat JAPAN が 2004 年 か らはい。sutegoma2 の由来をお話すると、当時

2008 年まで開催されていて、その打ち上げが起の DEFCON CTF の予選ではルール上、アカウン

源です。ラスベガスで開催している BlackHat USA※ 1 AVTOKYO https://www.avtokyo.org/※ 2 AVTOKYO 日本語アーカイブ https://ja.avtokyo.org/

5

に行った日本人たちが飲み会をするような感覚で「After Vegas」、略して AV と 2007 年頃から呼ぶよ
うになりました。
なるほど。AV にはそういう意味があったのですね。
2007 年の BlackHat JAPAN 終了後、新宿の飲食店で、プレゼンをしながらワイワイと盛り上がっていると、BlackHat 創設者のジェフ・モスさん
がスピーカー数名とともに会場に来てくれたのです。 これは、当時 BlackHat JAPAN のオペレーションを担当していた篠田佳奈さん（現 CODE BLUE事務局代表）の尽力によるものです。

AVTOKYO 歴代イベントバッジ。一部は Booth などで販売されてそれはさらに盛り上がりますね。

いる（写真提供：tessy さん）

はい。英語は話せなくても一緒に飲めば楽しい

交流できるといったことも行っています。

ですし、プログラムコードは彼らとの共通の言語

AVTOKYO といえば、毎年凝ったバッジが作らですから、すぐに打ち解けることができました。

れていますが、こちらについて教えてください。

これが好評で、翌年からは日本発を掲げるためにバッジは毎回オリジナルで、DEFCON のような

AVTOKYO としました。2008 年は、昼夜に分けて凝ったものを作っています。電子工作などが得意開催しました。昼間は HackerJapan を刊行していな人たちが作成しています。大抵予算をオーバーた白夜書房のホールを借りてプレゼンテーション

するのですが（笑）。過去にはサコシュを入場バッ

中心のデイ・セッションを行い、夜は「no drink,ジにしたこともありました。これは、アナログ

no hack」をスローガンに掲げてアフター・パー

レコード盤を入場バッジとした DEFCON を越え

ティを行いました。翌年からは、飲みながら・食て世界最大のカンファレンスバッジとなりました

べながら参加できる形とし、クラブを貸し切って（笑）。もちろん、今年も世界初に挑戦します。
AVTOKYO のグッズ販売ページ※ 3 でサコシュを開催する現在のようなスタイルになったのは 2011
年からです。

含めてさまざまな商品が販売されていますが、入企業の協賛を受けないのは、ポリシーがあるの

場バッジも販売したら売れるのではないでしょう

でしょうか。

か。

コミュニティ主導でベンダーニュートラルとし実は過去のバッジは在庫のあるものは Booth

たいという方針があるからです。実は、これまで（創作物のマーケット）で販売をしています※ 4。

に何度か企業スポンサーについて検討はしていま

長年運営を続けてきて参加者に変化はあります

すが、その度に「なしで頑張ろう」ということとか。

なり現在に至っています。その代わり、AVTOKYO

若い世代の参加者が増えるとともに、新規の参の主旨に賛同いただける方に、個人スポンサーと加者も増えています。これはセキュリティに仕事して支援をお願いしています。

で関わる人が増えてきたからではないかと思いま

個人スポンサーには、どのようなメリットがあす。また、AVTOKYO では、講演に限らずワーク

りますか。

ショップなども公募していて、近年、こちらへの

これまでは、スペシャルお土産アイテムをお渡応募も増えています。

ししたり、参加バッジが豪華になっていたり、会参加者に限らず、AVTOKYO に関心を寄せる人

場でスポンサー名を掲載したりというものです。

が増えているということですね。講演応募の倍率

あとはイベント後のスタッフの飲み会に招待してはどれくらいですか。また、特徴のあるワーク※ 3 AVTOKYO SWAG

https://suzuri.jp/avtokyo※ 4 AVTOKYO ｰ Booth

https://avtokyo.booth.pm/

6

じて「縁日感を出そう」ということで話がまとまったので、きっと楽しいものになると思います。また、今年は久々に前夜祭を開催しようかとも考えています。参加者が来ない可能性もありますが、他ではできない「濃い話」をする場にしたいですね。あわせて、開催当日のアフター・パーティの規模縮小も検討しています。まあ、飲みに行かな
いということはありませんが（笑）。
tessy さんにとって、イベント運営の醍醐味は何ですか。
毎年、企画をスタートする春頃はあまりやる気がないのです。一方、開催が近づくにつれて、今度は準備が大変になります。AVTOKYO は基本的ショップなどがあれば教えてください。

に CODE BLUE などのイベントの後夜祭という位

講演の公募は、例年 2 倍ほどの競争率です。内置づけですから、スタッフはイベントで働きっぱ

容はテクニカルなものから「ネタ」的なものまでなしで、前夜はだいたい徹夜で準備することにな

幅広くなっています。酔っている参加者の前でります。ただ、AVTOKYO で皆さんがみんな楽しの講演は難しいと思います。ワークショップの方

そうにワイワイ飲んでいるのを見るのはうれしい

は、ハンダ付けのようなハードウェアを扱ったモです。飲み会の幹事のような感覚ですね。それがノや、BlackHat ARSENAL のようなツールの紹介、終了時にピークを迎えて「終了です！また来年！」

あと例年 Open xINT CTF が開催されています。

と、うっかり言ってしまうのです。
「あっ、また言っ話はそれますが、Open xINT CTF を主催する

ちゃった」って（笑）。

pinja は、今年 DEFCON で開催された OSINT CTF

逆に苦労するのは、やはり準備のときですか？

（Recon Village CTF）で見事優勝を果たしました

準備も大変ですが、グッズやイベントなどの企

ね※ 5。

画面でも苦労します。毎回、何か面白いことをやはい。本当に快挙ですね。AVTOKYO の Open

りたいと考えるのですが、行き詰まってしまいま

xINT CTF は、この 3 年ほどはコロナ禍でオンライす。コロナ禍でリアルな飲み会がなくなり、くだン開催でしたが、それ以前は現地会場で開催してらないネタが出てこなくなりました。ここ数年、いました。答えとなるフラグを会場や渋谷の街か

企画面では悶々としていましたが、先日、久しぶら探し出すなど、趣向が凝らされていました。

りにスタッフが集まり飲み会をしたところ、くだ

AVTOKYO 2023 の目玉など、公開できる情報はらない話がどんどん出てきました。やはり、対面ありますか。

で人と会うのは重要です。

今年はロックピッキング的な企画をやりたいと考えています。物理的な鍵のハッキングですね。

AVTOKYO がなくなっても、

ただし、日本では一般の人がピッキングツールをやりたい人が新たな「場」を作ればいい

所持することは違法にあたるため、鍵穴を探りながらブランクキーを削るワークショップを検討し今後、AVTOKYO をどのようにしていきたいでています。これなら単なる金属加工ですから。

すか。例えば、10 年後も続けていますか。

かなり攻めた企画ですね。期待しています。

先のことはわかりませんが、「もうやめようか

他には、前述した Open xINT CTF の開催も決定な」という考えは常にあります。運営が大変なのしています。先日の企画会議では、イベントを通で、少しでも楽にするために同じような仕組みに※ 5 優勝してきたぜ！ ハッカーイベント「DEF CON」OSINT CTF 体験記（ASCII）https://ascii.jp/elem/000/004/158/4158573/

7

しているのですが、そうすると刺激がなくなってしまうのです。ただ、AVTOKYO を誰かに引き継ぐということは考えていません。なくなったときに、今度は誰かが新しいものを自由に作ればよいと思っています。
そうした考えの背景にはご自身の性格が影響していると思いますか。
そうかもしれません。個人的には、好きなこと
は仕事に限らずやっていく人生が目標です。一方で制約を受けたり縛られたりすることは嫌なのです。わがままなのだと思います。
バイク（自転車）も海外遠征なさったりしていますね。
自転車は、社会人になったときに参加したトラ
イアスロンがきっかけです。大学時代に、山登り
か岩登りかトライアスロンをやりたいと、漠然と思っていました。それまで文科系だったのに。その後、北海道で山登りをしたので、社会人になってトライアスロンに参加しました。最近また自転
車にはまっていて、コロナ禍では ZWIFT（バーチャルサイクリングサービス）を始めて、体重が10kg 落ちました。今年は 4 年に一度フランスで開催される PBP（パリ～ブレスト～パリ）にも参

PBP 参加中の一枚（大会運営による撮影・販売）。tessy さん曰く

加し、無事に完走しました。その 1 週間後には、「PBP は長くて楽しい 1200km でした」とのこと

ワインを飲みながらフルマラソンを走るメドック

心がけています。まあ、もともと体を痛めつける

マラソンにも参加しました。

のが好きなのです。山を走ったりもしましたし。

すごいですね。何か考えがあったのですか？

強靭な体力で、ますますコミュニティを引っ

人生を生きていくためには体力が必要だと思っ

張って欲しいと思います。今回はありがとうござていまして。仕事もそうですが、忍耐力などにはいました。

ベースになる体力が必要なのではないかと、CTF（編注：AVTOKYO の企画内容はインタビューが行に参加した頃から少し思っていたのです。強い人、われた 2023 年 9 月当時のものであり、11 月の開続けられる人はやはりベースがあるので、それを催時には内容が変更になることがあります）

8

社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2023.10
文＝ SHIELD Security Research Centerを直接届けられたり、記事の掲載方法やブランディ
カナダで可決されたングをコントロールしたりすることができる。これ

Online News Act についてを利用することで、読者をニュースの提供元の Web
サイトに誘導でき、双方の関係性を深める役割をし【概要】カナダ政府は、2023 年 6 月下旬、Meta やていると考えるからだ。さらに、Google は、このGoogle などに対して、カナダに関わるニュースリン

プログラムでカナダのメディアは年間 250 億円の収クを表示させるだけで利用料を課す法案「Online

益を上げると試算している。また、Meta も同様に、

News Act」を可決した。本法案に関連して、カナプラットフォームにニュースを載せることでカナダのダ国内での影響や諸外国への影響について考察すメディアは約 230 億円の広告収入を得ていると主張

る。

している。

【内容】2023 年 6 月 22 日、カナダ政府は、カナダ

Meta が運営する Instagram において、一部のユーのメディアを保護する法案「Online News Act」をザー向けにカナダのニュース表示が試験的に削除可 決し た。 この 法 案 は、Facebook、Instagram、された。 削 除の対 象には、 以前 検 索、 フォロー

Google ニュースなどにカナダに関わる記事が 掲したニュースのコンテンツも含まれている。また、載される際に、プラットフォームの提 供元である

Google は、Meta と同様に12 月19 日までにはニューMeta や Google に対し、記事提供元であるカナダ

スページへのアクセスを停止する予定だが、緊急性のメディアへ利用料支払いを義務付ける内容であの高い情報については対象外とする姿勢だ。2021

る。これを受け、同日に Meta は、カナダ国内の全年、オーストラリアでも同 様な法 律が 可決され、ユーザー向けに Facebook と Instagram でのカナダ

Meta が一時的にニュースへのアクセスを停止した時に関わるニュースの提供を終了すると発表した。さ期があった。しかし、後に合意に至り、Meta と報らに 6 月 29 日には、Google もカナダ国内でカナ

道機関の間でコンテンツ取引が成立したためカナダ

ダのニュースを Google 検索や Google ニュースかも同様の道を辿るかもしれない。

2023 年 7 月 初 旬、 この 法 案 の可 決 を 受 け て、ら遮断することを発表した。

一方、この法案は、カナダの管轄外の仲介業者

法案可決の背景には、各メディアの定期購読や広にも影響を与える可能性がある。例えば、インター

告収入が減少し、デジタルプラットフォームへシフ

ネット上のサービス運営者は、カナダからのユーザートしている状況を鑑みて、プラットフォームとメディ

やニュースコンテンツのためにサービスの仕組みを

アの経済的公平性を確保する目的がある。カナダ

変更する可能性もある。その結果、インターネット

政府は、大手 IT 企業が彼らのプラットフォームに無上のサービスは、
カナダ国内外で別の仕様で機能し、償でニュースを掲載することで、ユーザーを集めて諸外国と比べてカナダ国内のユーザーは関連したコ

膨大な広告利益を得ていると懸念している。一方、ンテンツへのアクセスが減少する。この状況がビジ

この法案に対して、Meta や Google は懐疑的であネスに不利に働くと考える企業は、事業やサービスる。なぜなら、Google は多くのメディアに「ニューをカナダから撤退し、法律遵守のコストを回避する

スショーケースプログラム」を無償で提供していることを検討するだろう。今後この法案がどうカナダ

からだ。このプログラムでは、提供元ごとに「パネル」

国内で施行、運用されていくのかは確認していく必

で記事が表示され、ニュースの提供元が自ら記事要がある。

［情報源］https://www.cbc.ca/news/editorsblog/cbc-online-news-act-1.6897060

9

セキュリティツールを実践的に紹介する連載企画

Let's Try Windows システム確認！

2．プロセス確認編

文＝ SHIELD Security Research Center1．はじめに
本稿は、各種セキュリティツールを実践的に紹介する連載企画です。前号より第二部「Windows システム確認」と題し、Microsoft 社が提供する「Sysinternals Suite」として利用可能な、いくつかのツールの使い方を確認します。
「Sysinternals Suite」は、多数のトラブルシューティング ユーティリティをまとめたバンドルです。誰でも無償で利用することができ、Windows マルウェアの動的解析などにも利用可能なツールです。
「Sysinternals Suite」を有効活用することで、コンピューターに感染した Windows マルウェアを見つけ出したり、Windows マルウェアの挙動を確認したりすることができます。
一方、「Sysinternals Suite」が動作するコンピューターでは、活動を停止する Windows マルウェアも存在します。
「第二部

Windows システム確認」は次の 3 部構成となっています。

1. 自動起動プログラム確認編
Autoruns を利用して、Windows の自動起動プログラム設定を確認します。
2. プロセス確認編
Process Monitor を利用して、Windows 上で起動するプロセスの動きを確認します。
3. ネットワーク状況確認編
TCPView を利用して、Windows 上でのネットワーク状況を確認します。
今回は、「2. プロセス確認編」として、Windows プロセスのアクティビティ（挙動）の確認方法を解説します。マルウェアの挙動確認、マルウェアの感染確認（ロードされる DLL として）などに利用可能となります。
本稿の安全性には留意していますが、安全を保証するものではございません。
OA 端末（社内ネットワーク接続機器）で実施するのではなく、分離された回線内および機器を利用することを推奨いたします。
なお、本稿は「自動起動プログラム確認編」と同様、Windows Sandbox を利用した手順での解説を予定しておりましたが、Windows Sandbox 上では「Process Monitor」の動作が不安定であることを確認しております。そのため、今回の「プロセス確認編」では、ローカル環境（専用マシーン）またはVMWare などの仮想環境を用いて実践することをお勧めいたします。

10

2. 準

備

2.1 Process Monitor の準備「Process Monitor」とは、「Sysinternals Suite」に含まれる、Windows で実行中プロセス（プログラ
ム）の挙動を確認するためのツールです。
「Process Monitor」および「Sysinternals Suite」は下記などから、ダウンロードすることができます。
･「Process Monitor」
https://learn.microsoft.com/ja-jp/sysinternals/downloads/procmon
・「Sysinternals Suite」
https://learn.microsoft.com/ja-jp/sysinternals/downloads/sysinternals-suite
今回は、筆者は Procmon64.exe を利用します。読者の皆様は、利用されている環境に合わせて、選択してください。

2.2 Putty の準備「Putty（パティ）」は、Simon Tatham が MIT License（オープンソースソフトウェアライセンスの一種）で開発・公開しているリモートログオンクライアントです。
後ほど、「Putty」を使った確認手順がありますので、準備をしておきます。ソフトウェアは以下のURL よりダウンロードできます。
・「Putty」
https://putty.org/
筆者は下記、64-bit x86 binary file をダウンロードしました。ご自身の環境に合わせてダウンロード、
ご準備してください。

11

3. プロセス（プログラム）の確認
3.1「Process Monitor」の起動テスト「Process Monitor」を起動します。
「Process Monitor」 を 起 動 す る と、 プ ロ セ ス の ア ク テ ィ ビ テ ィ が 大 量 に 記 録 さ れ 始 め ま す。
Windows のさまざまなプロセスは常に動作を続けているため、このままでは、大量のアクティ
ビティが記録されることとになります。いったん、図のボタン❶を押下し記録を停止し、ボタン❷を押下しこれまでに記録されたアクティビティを削除します。

アクティビティを削除したら、起動テストは完了です。
3.2 Putty の起動、リモートサイトへの Telnet（HTTP 接続）テスト
次に、「Putty」を利用した Telnet（HTTP 接続）のテストを実施します。
準備した「Putty」を起動します。
図の通り、Session タブの Host Name に「www.hitachi-systems.com」、Port に「80」を入力し、Connection Type を Other で「Telnet」を選択し、Open ボタンを押下します。

12

起動すると、黒いプロンプト画面が表示されます。

プロンプトが表示されましたら「GET . HTTP/1.1」を入力します。これは、Web ページなどにアクセスした際に、通常ブラウザーが行っている HTTP リクエストのうちの、リクエストラインを表し
ています。

入力後、
「Enter」を押し、HTTP レスポンスが一瞬だけ表示され（表示が見えない場合もあります）、
プロンプト画面が閉じたら、確認は終了です。
HTTP レスポンスがいつまでも返ってこない場合には、通信路上に問題がある可能性がありますので、確認してください。
なお、HTTP レスポンスの内容については、確認をする必要はありません。
3.3 アクティビティの記録
それでは実際に、「Process Monitor」を用いて、「Putty」のプロセスのアクティビティを記録してきます。図のボタン❶を押下し、「Process Monitor」によるプロセスのアクティビティの記録を開始します。

下図のようにアクティビティの記録が始まっていることを確認します。

13

次に、3.2 で実践した「Putty」を用いた Telnet 接続（HTTP 接続）を、今一度実施します。
この時、次のように、「Saved Sessions」に「hitachi-systems」と入力し、「Save」ボタンを押下してから、Open ボタンを押下してください。

Telnet 接続が完了したら、下記のボタン❶を押下し、「Process Monitor 」によるプロセスのアクティ
ビティの記録を停止します。

14

3.4 アクティビティの保存
次に、アクティビティをログとして保存します。
メニューバー「File->Sava」を選択すると、Save To File ダイアログが開きます。保存する場所「Path」
を適宜変更し、OK ボタンを押下して保存します。
設定項目がいくつかありますが、今回はデフォルト設定（初期状態）で問題ありません。

3.5 プロセスツリーの確認「Process Monitor」は、Windows で動作している多くのプロセスに関わるアクティビティを記録します。そのため、必要な情報のみに絞って確認することが必要となります。その１つの方法が、画面出力内容のフィルター機能です。
フィルターを設定する方法はいくつかあるのですが、今回はもっとも簡単な手法として、プロセス
ツリーを用いて、確認を行いたいプロセス「Putty」の特定を行い、フィルター設定を行ったうえで
アクティビティを確認していきます。
「Process Monitor 」のメニューバーより、「Tools->Process Tree」を選択します。

15

「Process Tree」を開くと下記のような画面が表示されます。時系列で起動していたプロセスを確認することができ、プロセスの親子関係も確認できます。

プロセスツリーより、「Putty」をさがし、右クリックから「Add Process to Include filter」を選択
します。

16

選択が終わると、PID（プロセス ID）でフィルターに追加が行われます。「Process Monitor」の画
面上に「Putty」のアクティビティのみが表示されていることを確認してください。

3.6 レジストリアクティビティの確認「Putty」プロセスの、レジストリに関するアクティビティを確認します。
下の図の❶のみが有効 ( 背景が水色 ) の状態となるように設定します。

下の図と同じように、「Putty」プロセスのレジストリに関するアクティビティのみが表示されたことを確認します。

17

次に手動で Filter を設定します。
メニューバーの「Filter->Filter」を選択します。
その後、条件に「Path」「contains」「hitachi-systems」「then」「Include」を設定し、Add ボタン
を押下し、フィルターを追加します。

フィルターを設定すると Path に「hitachi-systems」の文字列が含まれるアクティビティのみが表示されます。
そして、Path「HKCU\SOFTWARE\SimonTatham\PuTTY\Sessions\hitachi-systems」に対して RegCreateKey
を行っていることが確認できます。これは、「Process Monitor」で「Putty」が保存したセッショ
ン情報をレジストリーキ―に保存する過程のアクティビティとして記録したものになります。

確認ができましたら、次の作業のため、設定したフィルターのチェックボックスを外し、「OK」を押下し、フィルター条件から削除してください。

18

3.7 ファイルアクティビティの確認「Putty」プロセスの、ファイル操作に関するアクティビティを確認します。
次の図の❶のみが有効（背景が水色）の状態となるように設定し、「Putty」プロセスのファイルに関するアクティビティのみが表示されたことを確認します。

次に、「Operation」が「CreateFile」となっている行を探し、右クリックから「Highlight ‘CreateFile’」を選択します。

19

選択が終わると水色で「CreateFile」のみがハイライトなされます。フィルターとは違い、全体のアクティビティを確認しながら、着目したい箇所のみに焦点を当てる有効な手法となります。

3.8 ネットワークアクティビティの確認「Putty」プロセスの、ネットワークに関するアクティビティを確認します。
次の図の❶のみが有効 ( 背景が水色 ) の状態となるように設定します。
また、「Putty」プロセスのネットワーク関するアクティビティのみが表示されたことを確認します。

「putty」が、「202.222.240.168」に HTTP 接続をしていることがわかります。「202.222.240.168」は、www.hitachi-systems.com に関わる IP アドレスです。「Process Monitor」が「Putty」で Telnet 接続（HTTP 接続）した通信記録を、アクティビティとして記録していることが確認できました。

6． おわりに
今回は、「2. プロセス確認編」として「Sysinternals Suite」に含まれる「Process Monitor 」を用いた、Windows プロセスのアクティビティ（挙動）の、レジストリ・ファイル・ネットワークの確認方法を確認しました。
マルウェアに感染していることがわかり、マルウェアのファイル名などがわかっている場合は、マルウェアの挙動の記録、詳細を確認することが可能です。
次回は、同「Sysinternals Suite」に含まれる「TCPView」を用いて、ネットワーク通信状況の確認方
法を確認します。

20