前作第15話の課題は、ファイルの中に1つの連続した文字列として手がかりが埋まっていました。今回はその発展形として、手がかりが複数の断片に分割され、しかもバラバラの順序で散らばっているという、より実戦的な状況を体験します。

「メモリダンプ」とは、実行中のプログラムが使っているメモリ（RAM）の内容を、ある瞬間にそのまま写し取ったデータです。ファイルには拡張子やヘッダーといった「構造」がありますが、メモリには本来そうした区切りがなく、プログラムのコード・変数の値・使われなくなった残留データなどが入り混じった、ただのバイトの塊として存在します。

実際のメモリには、起動中のプロセス名・読み込まれたDLLやライブラリの一覧・環境変数・直前に処理した通信内容の断片など、さまざまな情報が同時に存在しています。あるデータがすでに使われなくなっていても、その領域が別の用途に上書きされるまでは、古い内容がそのまま読み取れることも珍しくありません。これが「消したはずのデータがメモリには残っている」という現象の正体です。

stringsが抜き出すのは「表示可能な文字が並んでいる場所」であり、それが「意味のある手がかりかどうか」までは判断してくれません。実際の調査でも、本物の手がかりと、デバッグ用の変数名や設定値といった無関係な文字列が混在した状態で出力されることが普通です。

下のラボには、実際の490バイトのメモリダンプ（の一部を16進数で表示したもの）と、stringsを実行するボタンがあります。

マルウェアの中には、ディスク上にファイルを残さず、メモリ上だけで動作する「ファイルレス」と呼ばれる種類があります。このような攻撃は、ディスクを調べる従来のフォレンジックだけでは見つけられません。インシデント対応の現場では、感染が疑われる端末のメモリを保全し、Volatility（ボラティリティ）のような専用ツールでプロセス一覧・通信先・実行中のコードを解析するメモリフォレンジックが重要な手法になっています。

Volatilityのような専用ツールは、stringsよりはるかに高度な解析ができます。たとえば、メモリの構造を理解した上で「どのプロセスがどのメモリ領域を使っていたか」を正確に再構築したり、暗号化されていないパスワードやネットワーク接続の履歴を直接取り出したりできます。今回学んだstringsは、こうした専用ツールが使えない状況でも応用できる、最も基本的で汎用性の高い手がかり探しの技術です。

次回は、複数の異なる形式のログを時系列で統合し、1つの攻撃の流れを再構築する複合フォレンジックに挑戦します。

第7話では、メモリダンプという構造を持たないデータから、stringsの考え方でノイズを取り除き、さらに分断され順序の乱れた断片を正しく並べ替えてflagを復元する体験をしました。「出てきた順番が正しい順番とは限らない」という教訓は、実際のフォレンジック調査でもとても重要な視点です。