出典: SANS Internet Storm Center – https://isc.sans.edu/diary/rss/32432
原題: How to collect memory-only filesystems on Linux systems, (Wed, Oct 29th)
“`html
Linuxのメモリ専用ファイルシステムからの証拠収集手法解説
Linuxシステムにおけるメモリ専用ファイルシステム（tmpfsやramfsなど）は、揮発性の特性からサイバーインシデント調査時に重要な証拠源となります。本記事では、これらのファイルシステムから効果的に証拠を収集する方法と注意点を解説します。
主要なポイント
- メモリ専用ファイルシステムの特性：tmpfsやramfsはRAM上にファイルを格納し、システム再起動やアンマウントでデータが消失する揮発性ファイルシステムである。
- 証拠収集の迅速性：揮発性のため、攻撃者の痕跡を含む可能性のあるファイルは速やかに特定・保全する必要がある。
- メタデータとファイル内容の分離収集：inode情報（メタデータ）を先に取得し、その後ファイル内容を収集することで証拠の改変を防ぐ。
- 直接イメージ取得の困難さ：tmpfsは仮想ファイルシステムでブロックデバイスが存在しないため、ddコマンドによるイメージ取得は不可能であり、ファイル単位での収集が主流。
- メモリダンプとの併用：LiMEやVolatilityなどのメモリフォレンジックツールを活用し、揮発性情報を補完的に解析することが推奨される。
技術的な詳細と背景情報
Linuxのtmpfsやramfsは、物理ディスクではなく主にRAM上にファイルを格納する仮想ファイルシステムです。これにより高速アクセスが可能ですが、システムの再起動やアンマウントでデータが消失するため、証拠保全には特別な配慮が必要です。
攻撃者はしばしば、/dev/shmや/tmpなどのtmpfs領域にマルウェアの一時ファイルやログを隠すことがあります。しかし、tmpfsはブロックデバイスを持たないため、ddコマンドでのイメージ取得は法医学的に信頼できません。そこで、以下のような手順で証拠収集を行います。
- 1. マウントポイントの特定：mountやfindmntコマンドでtmpfsのマウントポイントを確認。
- 2. メタデータ（inode情報）の収集：findコマンドとstatコマンドを組み合わせ、ファイルの作成日時やアクセス権などのメタデータを取得。例として以下のコマンドを使用します。
find /dev/shm -exec stat -c '0|%N|%i|%A|%u|%g|%s|%X|%Y|%Z|%W' {} \; | sed -e 's/|W$/|0/' -e 's/|?$/|0/' > evidence-bodyfile - 3. ファイル内容の収集：findで通常ファイルを列挙し、tarコマンドで圧縮しながら別のストレージに転送。例：
find /dev/shm -type f -print | tar czvO -T - > evidence-files.tgz - 4. メモリダンプの活用：LiMEなどのツールでメモリ全体をダンプし、Volatilityなどで解析。tmpfs上の揮発性データも補完的に取得可能。
この方法は、LinuxだけでなくFreeBSDベースのJuniperルーターや古いSolarisシステムでも有効であり、多数の実績があります。
影響や重要性
メモリ専用ファイルシステムは、攻撃者が痕跡を隠すための格好の場所となっているため、インシデントレスポンスやフォレンジック調査において見逃せない証拠源です。揮発性の特性から迅速な対応が求められ、適切な手順を踏まなければ証拠の損失や改変のリスクが高まります。
また、メタデータとファイル内容を分けて収集する手法は、証拠の信頼性を高める上で重要です。これにより、ファイルアクセスによるタイムスタンプの更新を防ぎ、正確なタイムライン解析が可能になります。
さらに、メモリダンプとの併用により、tmpfs上のデータだけでなくシステム全体の揮発性情報を網羅的に解析できるため、より深いインシデント理解と対応策の策定に寄与します。
まとめ
Linuxのメモリ専用ファイルシステム（tmpfsやramfs）からの証拠収集は、揮発性の特性を踏まえた迅速かつ慎重な対応が不可欠です。マウントポイントの特定、inodeメタデータの先行収集、ファイル内容の確実な保全、そしてメモリダンプとの併用という手順を守ることで、信頼性の高い証拠を取得できます。
本手法は多くの実システムで実績があり、攻撃者の痕跡を見逃さないための重要な技術です。今後のサイバーセキュリティインシデント対応やフォレンジック調査にぜひ役立ててください。
“`
