performing-endpoint-forensics-investigation

エンドポイントのフォレンジック調査の実施

使用するタイミング

次の場合にこのスキルを使用します：

• フォレンジック分析が必要な、侵害が確認された、または侵害が疑われるエンドポイントを調査する場合
• インシデント対応や法的手続きのために、揮発性および不揮発性の証拠を収集する場合
• メモリダンプを分析し、マルウェア、コードインジェクション、または認証情報窃取の痕跡を調べる場合
• エンドポイントのアーティファクト（prefetch、shimcache、amcache）から攻撃者のタイムラインを再構築する場合

ライブ脅威ハンティング（EDR/SIEM を使用）やネットワークフォレンジックには、このスキルを使用しないでください。

前提条件

• 分析ツール（Volatility 3、KAPE、Autopsy、Eric Zimmerman ツール）を備えたフォレンジックワークステーション
• ディスクイメージを作成するための書き込み防止装置（ハードウェアまたはソフトウェア）
• 証拠の管理履歴に関する文書を備えた安全な証拠保管場所
• メモリ取得ツール（WinPMEM、FTK Imager、Magnet RAM Capture）
• 対象エンドポイントへの管理者アクセス（または物理アクセス）

ワークフロー

ステップ 1：証拠の保全（揮発性の順序）

最も揮発性の高いものから最も低いものへと証拠を収集します：

1. System memory (RAM) - Most volatile
2. Network connections and routing tables
3. Running processes and open files
4. Disk contents (file system)
5. Removable media
6. Logs and backup data - Least volatile

メモリの取得：

# WinPMEM (Windows)
winpmem_mini_x64.exe memdump.raw

# FTK Imager - Create memory capture via GUI
# File → Capture Memory → Destination path → Capture Memory

# Linux (LiME kernel module)
sudo insmod lime.ko "path=/evidence/memory.lime format=lime"

揮発性データの収集：

# Capture running processes
Get-Process | Export-Csv "evidence\processes.csv" -NoTypeInformation
tasklist /v > "evidence\tasklist.txt"

# Capture network connections
netstat -anob > "evidence\netstat.txt"
Get-NetTCPConnection | Export-Csv "evidence\tcp_connections.csv"

# Capture logged-on users
query user > "evidence\logged_users.txt"

# Capture scheduled tasks
schtasks /query /fo CSV /v > "evidence\scheduled_tasks.csv"

# Capture services
Get-Service | Export-Csv "evidence\services.csv"

# Capture DNS cache
ipconfig /displaydns > "evidence\dns_cache.txt"

ステップ 2：ディスクイメージの作成

# FTK Imager - Create forensic disk image
# File → Create Disk Image → Physical Drive → E01 format
# Always verify image hash (MD5/SHA1) matches source

# dd (Linux)
sudo dc3dd if=/dev/sda of=/evidence/disk.dd hash=sha256 log=/evidence/imaging.log

# Verify image integrity
sha256sum /evidence/disk.dd
# Compare with hash generated during imaging

ステップ 3：Volatility 3 によるメモリ分析

# Identify OS profile
vol -f memdump.raw windows.info

# List running processes
vol -f memdump.raw windows.pslist
vol -f memdump.raw windows.pstree

# Find hidden processes
vol -f memdump.raw windows.psscan

# Analyze network connections
vol -f memdump.raw windows.netscan

# Detect process injection
vol -f memdump.raw windows.malfind

# Extract command line arguments
vol -f memdump.raw windows.cmdline

# Analyze DLLs loaded by processes
vol -f memdump.raw windows.dlllist --pid 1234

# Extract files from memory
vol -f memdump.raw windows.filescan | grep -i "suspicious"
vol -f memdump.raw windows.dumpfiles --pid 1234

# Detect credential theft
vol -f memdump.raw windows.hashdump
vol -f memdump.raw windows.lsadump

# Registry analysis from memory
vol -f memdump.raw windows.registry.printkey --key "Software\Microsoft\Windows\CurrentVersion\Run"

ステップ 4：Windows アーティファクトの分析

Key forensic artifacts and their tools:

Prefetch Files (C:\Windows\Prefetch\):
  Tool: PECmd.exe (Eric Zimmerman)
  Shows: Program execution history with timestamps and run counts
  Command: PECmd.exe -d "C:\Windows\Prefetch" --csv output\

ShimCache (AppCompatCache):
  Tool: AppCompatCacheParser.exe
  Shows: Programs that existed on system (even if deleted)
  Command: AppCompatCacheParser.exe -f SYSTEM --csv output\

AmCache (C:\Windows\appcompat\Programs\Amcache.hve):
  Tool: AmcacheParser.exe
  Shows: Program execution with SHA1 hashes and install timestamps
  Command: AmcacheParser.exe -f Amcache.hve --csv output\

NTFS artifacts ($MFT, $UsnJrnl, $LogFile):
  Tool: MFTECmd.exe
  Shows: Complete file system timeline including deleted files
  Command: MFTECmd.exe -f "$MFT" --csv output\

Event Logs:
  Tool: EvtxECmd.exe
  Shows: Security, System, PowerShell, Sysmon events
  Command: EvtxECmd.exe -d "C:\Windows\System32\winevt\Logs" --csv output\

Registry Hives (SAM, SYSTEM, SOFTWARE, NTUSER.DAT):
  Tool: RECmd.exe with batch files
  Shows: User accounts, services, installed software, USB history
  Command: RECmd.exe -d "C:\Windows\System32\config" --bn BatchExamples\RECmd_Batch_MC.reb --csv output\

ステップ 5：タイムラインの再構築

# Use KAPE for automated artifact collection
kape.exe --tsource C: --tdest C:\evidence\kape_output \
  --target KapeTriage --module !EZParser

# Create super timeline with plaso/log2timeline
log2timeline.py timeline.plaso disk_image.E01
psort.py -o l2tcsv timeline.plaso -w timeline.csv

# Filter timeline around incident timeframe
psort.py -o l2tcsv timeline.plaso "date > '2026-02-20' AND date < '2026-02-22'" -w filtered_timeline.csv

ステップ 6：調査結果の記録

フォレンジックレポートを次の構成にします：

1. Executive Summary
2. Scope and Methodology
3. Evidence Inventory (with chain of custody)
4. Timeline of Events
5. Findings and Analysis
   - Initial access vector
   - Persistence mechanisms
   - Lateral movement
   - Data access/exfiltration
6. Indicators of Compromise (IOCs)
7. Recommendations
8. Appendices (tool output, hashes, raw evidence)

主な概念

用語	定義
揮発性の順序	最も揮発性の高い証拠（RAM）から最も低い証拠（バックアップ）までの収集優先順位
証拠の管理履歴	収集から提示までの証拠の取り扱いを記録した文書
書き込み防止装置	元の証拠が変更されるのを防ぐハードウェアまたはソフトウェアの装置
スーパータイムライン	インシデントの再構築に使用する、すべてのアーティファクトのタイムスタンプを統合した時系列表示
Prefetch	プログラムの実行履歴を記録する Windows アーティファクト
ShimCache	エンドポイント上のプログラムの存在を追跡する、アプリケーション互換性に関するアーティファクト

ツールとシステム

• Volatility 3：RAM ダンプを分析するメモリフォレンジックフレームワーク
• KAPE (Kroll Artifact Parser and Extractor)：トリアージ用の収集と解析を自動化するツール
• Eric Zimmerman Tools：Windows アーティファクト解析ツールのスイート（PECmd、MFTECmd、RECmd など）
• Autopsy/Sleuth Kit：ファイルシステム分析用のディスクフォレンジックプラットフォーム
• FTK Imager：フォレンジックイメージ作成とメモリ取得のためのツール
• Plaso/log2timeline：スーパータイムライン作成フレームワーク

よくある落とし穴

• 稼働中のシステムで証拠を変更する：分析の前に必ずイメージを作成してください。稼働中のシステムでツールを実行すると、タイムスタンプやメモリの状態が変化します。
• 証拠の管理履歴を記録し忘れる：管理履歴が記録されていない証拠は、法的手続きで証拠能力を認められません。
• ディスクだけを分析し、メモリを無視する：メモリ内にのみ存在するマルウェア（ファイルレス攻撃）は、ディスク上に痕跡を残しません。必ず最初にメモリを取得してください。
• 証拠のハッシュを取得しない：完全性を証明するため、収集時にすべての証拠の暗号学的ハッシュを取得する必要があります。
• 視野狭窄：タイムラインがより広い状況を示しているのに、1 つのアーティファクトだけに注目してしまうことです。必ず包括的なタイムラインを作成してください。