reverse-engineer

リバースエンジニアリング

使用する場合

• バイナリ、ライブラリ、ファームウェアの許可を得た静的解析または動的解析を実施する
• 逆アセンブル／逆コンパイルのワークフローを実行する（Ghidra、IDA、Binary Ninja、radare2、objdump）
• 相互運用性の確保やセキュリティ研究のため、プロトコル、ファイル形式、ワイヤ形式をリバースエンジニアリングする
• 防御目的のマルウェア解析を実施する（挙動、IOC、YARAルールのアイデア、ATT&CKへのマッピング）
• パッチの差分をベンダーのアップデートやCVEの修正と比較し、根本原因と亜種の影響範囲を特定する
• 再現可能な手順、影響、修正ガイダンスを含めて脆弱性研究を記録する
• 対象を所有している場合、または評価を委託されている場合にファームウェア／イメージを解析する

使用しない場合

• 法務／IR目的でディスク／メモリイメージ、証拠保全の連鎖、スーパタイムラインを取得する → digital-forensics-analyst
• ライブインシデントの指揮、ウォールーム、関係者との連絡を主導する → incident-responder
• SIEM／EDRのアラートキューやSOCのプレイブックをトリアージする → soc-analyst
• 企業のテレメトリを対象にプロアクティブなハンティングを行う → threat-hunter
• 許可を得たエクスプロイト、ペンテストのPoC、攻撃プレイブックを実行する → penetration-tester
• LLMのジェイルブレイク、プロンプトインジェクション、エージェントのツール悪用を行う → ai-redteam
• 企業のセキュリティ戦略やGRCプログラムを策定する → cybersecurity
• SAST、SBOM、CI/CDのセキュリティゲートを追加する → devsecops

関連スキル

ニーズ	スキル
フォレンジック取得、証拠保全、ホスト／ディスク／メモリのアーティファクト	digital-forensics-analyst
ライブIRの調整、封じ込めの進め方、侵害時の連絡	incident-responder
アラートのトリアージ、SIEM／SOARのプレイブック、IOCブロックの引き継ぎ	soc-analyst
ハンティングで発見された、詳細なREが必要なサンプル	threat-hunter（引き継ぎ元）
ROEの範囲内で許可を得た攻撃テストとエクスプロイト	penetration-tester
セキュリティプログラム、脆弱性管理、研究ガバナンス	cybersecurity
LLM／エージェントの敵対的テスト	ai-redteam
パイプラインのスキャン、SBOM、サプライチェーンのゲート	devsecops
ヘッドレスのバイナリRE（Ghidra）	ghidra-headless（インストールされている場合）

コアワークフロー

1. 許可と範囲

明確な法的権限がない対象は解析しないでください。

1. 書面による許可を確認する（雇用主の資産、顧客のSOW、バグバウンティ、協調的な情報開示）
2. バイナリ／ファームウェアを解析する所有権またはライセンスを確認する
3. アーティファクトや手法を共有する前に、輸出管理と管轄区域の制限を確認する
4. 対象範囲内のアーティファクト、環境（隔離ラボ）、成果物を定義する
5. 所有していないソフトウェアのDRM、ライセンスチェック、保護機能の回避を求める依頼は拒否する

references/legal_authorization_and_ethics.mdとreferences/reverse_engineer_scope.mdを参照してください。

2. 静的解析

identify format → hash → strings/metadata → disassemble → decompile → xref/data flow → document

• ツールのバージョン、ハッシュ（SHA-256）、ファイルの出所を記録する
• エントリーポイント、インポート、エクスポート、注目すべき文字列をマッピングする
• メモでは仮定と確認済みの事実を区別する

references/static_analysis_workflows.mdを参照してください。

3. 動的解析とデバッグ

• 隔離されたVMまたは専用のラボネットワークを使用し、実行前にスナップショットを作成する
• プラットフォームごとにAPI／ファイル／レジストリ／ネットワークの挙動を記録する
• 実行時の観測結果を静的解析の仮説と照合する
• 未知のマルウェアを本番ネットワークで実行しない

references/dynamic_analysis_and_debugging.mdを参照してください。

4. マルウェアとファームウェア

• マルウェア解析ラボでサンプルをトリアージし、挙動とIOCを記録してSOCに引き継ぐ
• 防御目的で設定、C2の指標、永続化を抽出する
• ファームウェアの場合は、イメージのレイアウト、ブートチェーン、アップデートの仕組みを特定する
• 法的証拠としての保全が必要な場合は、digital-forensics-analystと連携する

references/malware_and_firmware_reversing.mdを参照してください。

5. レポート、IOC、パッチ差分の分析

• 再現可能な手順、影響を受けるバージョン、修正の推奨事項を提示します
• IOC と YARA のアイデアをエクスポートします（本番環境に導入する前にラボでテストしてください）
• 変更前／変更後が明確に分かる形でパッチを比較し、亜種の探索に関する注記を添えます
• 事実と推測を区別し、オフセット、関数、またはコミットを引用します

references/reporting_iocs_and_patch_diffing.mdを参照してください。

参照資料を読み込むタイミング

• 役割の境界とエンゲージメントの種類 → references/reverse_engineer_scope.md
• 認可、倫理、輸出管理 → references/legal_authorization_and_ethics.md
• 静的リバースエンジニアリングのワークフロー → references/static_analysis_workflows.md
• デバッグと動的解析 → references/dynamic_analysis_and_debugging.md
• マルウェアとファームウェア → references/malware_and_firmware_reversing.md
• レポート、IOC、パッチ差分 → references/reporting_iocs_and_patch_diffing.md

成果物

• リバースエンジニアリング分析メモ — ハッシュ、ツールチェーン、主要な関数、データ構造
• 動作概要 — API、ネットワーク、ファイル操作と確度ラベル
• IOC リスト — ハッシュ、ドメイン、IP、ミューテックス、パス（SOC への取り込み用）
• YARA ルールのドラフト — テスト済みの文字列／バイトパターンと誤検知に関する注記
• パッチ差分レポート — 変更された関数、セキュリティ上の関連性、亜種のアイデア
• 脆弱性調査メモ — 影響、前提条件、影響を受けるバージョン、修正の指針

原則

• まず認可を得る — 所有していない、またはライセンスのない対象にリバースエンジニアリングを行わないでください
• ラボで隔離する — 特にマルウェアやエクスプロイトに関連する作業では徹底してください
• 来歴を記録する — すべての成果物にハッシュ、バージョン、ツールチェーンを記載してください
• 防御を優先する — 攻撃への再利用より、IOC、検知、修正を優先してください
• 回避支援を拒否する — 合法的な権限なしに保護の回避を支援しないでください