カスタマー・ポータルサポートを利用カスタマー・サポート疑問を解決プログラムサポートに関するお知らせサポート対象製品コミュニティドキュメント・ポータルサポートFireEyeは、専門家が24時間365日体制で対応するグローバルサポート・ネットワークを構築しています。パートナー様を支援する登録制ポータルサイト。案件登録、トレーニング情報にアクセスできます。forensicsデジタル・フォレンジック担当者、インシデント対応担当者、メモリ・マネージャーを使用するみなさまに連絡します。Windows10イメージから不正な活動を抽出するために、気が付くとお客様の現場で24時間体制で作業していた経験がありますか?プロセス・ツリーの表示やカーネル・モジュールの列挙など、最初のステップで壁にぶち当たったことは?さらに悪いことに、不正な活動をまったく見つけることができなかったと、経営幹部レベルに報告しなければならなかったことは?もう心配ありません。FLAREが対応しました。Rekallツールに統合しました!2013年8月まで、あなたは熟練したコンサルタントとして、すべてが順調でした。ツールは期待通りに動作し、フォレンジック調査を迅速に行うことができました。7を使い続けていたので、この機能停止はほとんど気づかれませんでした。10イメージの導入が進んでいますが、今までのフォレンジック・ツールは使えないままです。10のメモリ・フォレンジック調査について解説する、3部構成の第1部です。Stancillによるプレゼンテーションと同じ内容で、FLAREによるVolatilityおよびRekallのアップデートの紹介を目的にしています。10メモリ・マネージャの核心部分を掘り下げる予定です。最後の記事は、カーネルを自分で解析しようとするエンジニアへのガイドを提供する予定です。従来、Windowsメモリの解析においてフォレンジック・ツールは物理メモリのみを解析し、欠落した部分はページファイルから補完していました。Storeを採用し、これまでの方法論を一変させました。Storeは、ドキュメントが公開されていないこととデータ圧縮が原因の難題を引き起こします。FLAREチームはOSのメモリ・マネージャーのほか、圧縮メモリを取り出すために使用されるアルゴリズムと構造を解析しました。Storeに保存されます。Managerは、SuperFetch、ReadyBoost、ReadyDriveを含むパフォーマンス最適化システムに関与するデータを管理します。StoreはRAM上のエンティティで、プロセスが所有する圧縮データのためにMemCompression.exeが保持する領域を活用します。この調査の成果は、セキュリティ関係者のために、VolatilityおよびRakallの両方に移植されました。今すぐ入手VolatilityとRekallはGitHubから入手できます。10のメモリ圧縮は、メモリ・マネージャーの設計において大きな進化であり、物理メモリをより効率的に使用することによってシステム・パフォーマンスを向上します。その代償は、現在のところ公式にドキュメント化されておらず、より複雑なメモリ管理システムの仕組みがわからないことです。これまで、VolatilityとRekallは、圧縮されたページに格納されているメモリを検査できなかったため、不正なプログラムが侵入しても、フォレンジック・データが検出されませんでした。10圧縮メモリに対する知識と技術的なギャップが埋められることを願っています。BlackHatにお越しいただき、お客様のご意見をお聞かせください。FireEyeの研究の結果として、これらのフレームワークがどのように発展していくのかを非常に楽しみにしています!「Windows10圧縮メモリ内で不正な活動を検出する」シリーズの第2部をどうぞご期待ください。Tools」の要約版です。技術詳細を含むブログ全文(英語)は次のリンクをご参照ください。最新の脅威情報や攻撃者動向、ソリューション解説についての情報をお届けします。