出典: SANS Internet Storm Center – https://isc.sans.edu/diary/rss/32432
原題: How to collect memory-only filesystems on Linux systems, (Wed, Oct 29th)
Linuxのメモリ専用ファイルシステムからのフォレンジックデータ収集手法
Linuxのtmpfsやramfsといったメモリ専用ファイルシステムは、物理ディスク上にデータを保持せずRAM上で動作するため、通常のディスクベースのフォレンジック手法ではデータ取得が困難です。本記事では、これらのファイルシステムから効果的にフォレンジックデータを収集するための具体的な手法と注意点について解説します。
主要なポイント
- メモリダンプの取得：Linuxの
/proc/kcoreや/dev/memを利用した物理メモリのダンプや、LiME（Linux Memory Extractor）などのカーネルモジュールを用いてメモリ全体をキャプチャし、tmpfs領域のデータを抽出します。 - ライブシステム上でのマウント情報確認：
mountコマンドや/proc/mountsを参照してメモリ専用ファイルシステムのマウントポイントを特定し、該当ディレクトリから直接ファイルをコピーします。ただし、揮発性のため迅速な対応が必要です。 - カーネルデバッグインターフェースの活用：
debugfsを利用してカーネル内部の情報を取得し、メモリ上のファイルシステム構造を解析します。 - フォレンジックツールの利用： VolatilityやRekallなどのメモリフォレンジックフレームワークを使い、メモリ上のファイルシステムデータを解析します。
- メタデータとファイル内容の順序ある収集： inodeのメタデータ（ファイルの属性情報）を先に収集し、その後にファイル内容を取得することで、タイムスタンプの更新を防ぎます。
技術的な詳細と背景情報
Linuxのtmpfsは物理的なブロックデバイスを持たず、RAM上にファイルシステムを展開しています。そのため、通常の dd コマンドなどでイメージを取得することはできません。攻撃者はこの特性を利用し、マルウェアや機密データをtmpfs上に隠すことがあります。
ジム・クラウジング氏は、まず find コマンドでtmpfsのマウントポイント（例：/dev/shm）を走査し、 stat コマンドでinodeメタデータを収集する手法を提案しています。これはファイルのアクセス日時などのタイムスタンプを保護するためで、メタデータ収集後にファイル内容を tar コマンドで圧縮しながら取得します。
find /dev/shm -exec $(which stat) -c '0|%N|%i|%A|%u|%g|%s|%X|%Y|%Z|%W' {} \; | sed -e 's/|W$/|0/' -e 's/|?$/|0/' | ssh foo@system "cat - > $(hostname)-dev-shm-bodyfile"
find /dev/shm -type f -print | tar czvO -T - | ssh foo@system "cat - > $(hostname)-dev-shm-fs.tgz"
この方法は、LinuxだけでなくFreeBSDベースのJuniperルーターや古いSolarisシステムでも有効であることが確認されています。
影響や重要性
メモリ専用ファイルシステムは揮発性が高く、システムの再起動やシャットダウンでデータが消失してしまいます。そのため、インシデント発生時には迅速かつ正確なデータ収集が求められます。また、ライブシステムからのデータ取得はシステム状態を変化させるリスクがあるため、手順の計画と実行には慎重さが必要です。
攻撃者がtmpfs上にマルウェアや機密情報を隠すケースが増えている現在、このようなメモリ専用ファイルシステムからのフォレンジックデータ収集技術は、インシデントレスポンスや脅威ハンティングにおいて非常に重要なスキルとなっています。
まとめ
Linuxのメモリ専用ファイルシステムからのフォレンジックデータ収集は、通常のディスクイメージ取得とは異なるアプローチが必要です。メモリダンプの取得、マウント情報の確認、カーネルデバッグインターフェースの活用、そしてフォレンジックツールの利用を組み合わせることで、tmpfs上のデータを効果的に収集できます。
特に、inodeメタデータを先に収集し、その後にファイル内容を取得する手法は、タイムスタンプの保護とデータの完全性確保に有効です。揮発性の高い環境であるため、迅速かつ慎重な対応が求められます。
この分野の最新技術や実践的な手法については、FOR577などの専門講座やDFIRConなどのカンファレンスでの情報収集も推奨されます。
