出典: SANS Internet Storm Center – https://isc.sans.edu/diary/rss/32432
原題: How to collect memory-only filesystems on Linux systems, (Wed, Oct 29th)
Linuxのメモリ専用ファイルシステムからのフォレンジック収集手法
Linuxシステムにおけるtmpfsやramfsなどのメモリ専用ファイルシステムは、物理ディスクにデータを保持せずRAM上に展開されるため、揮発性が高くフォレンジック収集が非常に難しい環境です。本記事では、これらのファイルシステムから証拠を正確に収集するための実践的な手法と技術的背景について解説します。
主要なポイント
- メモリ専用ファイルシステムの特性理解
tmpfsやramfsはシステムの再起動やアンマウントでデータが消失する揮発性ファイルシステムであり、主に一時ファイルやプロセス間通信のために使われています。 - ライブレスポンスツールの活用
影響を最小限に抑えつつメモリダンプを取得するため、LiME（Linux Memory Extractor）やVolatilityなどのツールを用いたライブレスポンスが推奨されます。可能ならネットワーク経由でのメモリ収集も検討します。 - メタデータとファイル内容の順序ある収集
まずinodeのメタデータ（ファイルの属性情報）を収集し、その後ファイル内容を取得することで、アクセス時刻の更新など証拠の改変を防ぎます。 - コマンドラインを用いた具体的収集例
findコマンドとstatコマンドを組み合わせ、ファイルのメタデータをbodyfile形式で収集し、続いてtarコマンドでファイル内容を圧縮・転送する方法が効果的です。 - 証拠保全と報告の徹底
収集したデータのハッシュ値を計算し、改ざん防止を図るとともに、収集手順や解析結果を詳細に記録し法的証拠としての信頼性を確保します。
技術的な詳細と背景情報
tmpfsやramfsは物理的なブロックデバイスを持たず、RAM上にファイルを展開するため、通常のディスクイメージ取得ツール（例：ddコマンド）では正確なイメージ化が困難です。攻撃者はこれらのファイルシステムを利用してツールの隠蔽やデータ持ち出しの準備を行うことが多く、フォレンジック調査において重要な調査対象となっています。
ジム・クラウジング氏が提唱する手法は、まずfindコマンドで対象ディレクトリ（例：/dev/shm）を走査し、statコマンドでファイルのinode情報（ファイル名、inode番号、アクセス権、所有者、サイズ、アクセス・修正・変更時刻など）を取得します。これをbodyfile形式に変換し、The Sleuth Kitのmactimeプログラムでタイムライン解析が可能です。
続いて、ファイル内容はfindで通常ファイルのみを抽出し、tarコマンドで圧縮しながら標準出力に出力、ssh経由で安全に収集先へ転送します。この方法により、メモリ専用ファイルシステムの内容を効率的かつ正確に保存できます。
影響や重要性
メモリ専用ファイルシステムは揮発性が高いため、システムの再起動やアンマウントで証拠が消失するリスクがあります。したがって、迅速かつ正確なライブレスポンスが不可欠です。適切な手法を用いなければ、攻撃者が隠したファイルや重要な証拠を見逃す可能性があります。
また、法的証拠としての信頼性を保つためには、収集過程での証拠改ざんを防止し、詳細な記録を残すことが求められます。これにより、裁判や調査報告書での証拠能力が向上します。
まとめ
Linuxのメモリ専用ファイルシステムからのフォレンジック収集は、揮発性の高い環境で迅速かつ正確な対応が求められます。ジム・クラウジング氏の手法に代表されるように、まずinodeのメタデータを収集し、その後ファイル内容を取得する順序を守ることが重要です。ライブレスポンスツールやメモリフォレンジックフレームワークを活用し、証拠の完全性を保ちながら解析を進めることで、攻撃者の痕跡を見逃さず、信頼性の高い調査を実現できます。
今後もLinux環境のフォレンジック技術は進化していくため、最新のツールや手法を学び続けることが不可欠です。興味のある方は、FOR577などの専門講義やDFIRConなどのイベント参加を検討してみてください。
