メモリを調べる流れは、2段階に分かれます。①消える前に写真を撮る、②写真を虫めがねで読む。Volatility 3が受け持つのは②だけです。

公式のチュートリアルにも、最初に「Volatilityはメモリを取得する機能を持たない」と書かれています。撮る道具として名前が挙がっているのは、WindowsではWinPmemとFTK Imager、LinuxではAVML（Microsoftが公開している取得ツール）です。

この記事では、最後まで同じたとえを使います。専門用語との対応表です。

※厳密には、メモリの中身は机のように目で見える形では並んでいません。数字の羅列を、見取り図を頼りに意味のある形へ組み立て直すのがVolatility 3の仕事です。ここでは最初の理解として「机の写真」と考えてください。

パソコンの調査というと、ディスクの中のファイルやログを調べる方法（ディスクフォレンジック）がまず浮かびます。それも大切です。でも、机の上にしかないものがあります。

だから、証拠を集める順番は「消えやすいものから先に」が基本です。インターネットの技術文書RFC 3227（2002年）も、メモリはディスクより先に集めるものとして並べ、「証拠集めが終わるまでシャットダウンしない」と書いています。机と本棚、両方を見て初めて全体がわかります。証拠保全の考え方はデジタルフォレンジックとは？で詳しく説明しています。

メモリを撮る意味がわかるように、架空の例で流れを追ってみます（登場する会社・人物・数値はすべて作り話です）。

• 月曜 9:10会社員Aさんのパソコンで、ファンが回りっぱなし。画面の端に黒い窓が一瞬出て消えた。
• 9:15隣の席の先輩「とりあえず再起動したら？」。Aさんは、研修で聞いた「おかしいと思ったら電源は切らずに連絡」を思い出し、LANケーブルを抜いて情報システム担当に電話した。
• 9:40担当者が到着。電源は入れたまま、取得ツールでメモリを外付けのドライブに撮り、撮った時刻とファイルの指紋（ハッシュ）を記録した。
• 午後別の調査用パソコンでVolatility 3を使う。ふつうの名簿（windows.pslist）には怪しいものがないのに、床に落ちた名札まで拾う虫めがね（windows.psscan）で、名簿にないプログラムが1つ見つかった。
• 続きwindows.cmdline で、そのプログラムが長い文字列の命令で起動されていたことがわかり、windows.netscan で、外部のサーバーとつながっていた記録が見つかった。
• 結果この接続先を目印に、ほかのパソコンも調べられた。もし9:15に再起動していたら、この手がかりは消えていた。

※パソコンの電源を入れたままにするのは、調べる人に引き継ぐまでの間の話です。どう扱うかは会社の担当者や専門家の指示に従ってください。会社としての動き方はインシデント対応プレイブック完全ガイドにまとめています。

メモリの調べ方に、絶対の順番はありません。ただ、初めての人は「写真の裏書き → 人 → 指示 → 電話 → 書き換え → 時刻順」の順に見ると迷いにくくなります。

1. 撮る（Volatilityの外）
   取得ツールで机の写真（メモリダンプ）を作る。撮った日時、ツールの名前、ファイルのハッシュを記録する。
2. 写真の裏書きを確かめる：windows.info
   どのWindowsの、いつの写真か。ここが通れば、見取り図（シンボル）も合っている。最初に必ず実行する。
3. 机にいた人を一覧にする：windows.pslist / windows.pstree
   動いていたプログラムの名簿と、誰が誰を呼び出したか（親子関係）を見る。
4. 床に落ちた名札も拾う：windows.psscan
   名簿から消された・すでに終わったプログラムも探す。手順3の名簿と見比べる（STEP 8）。
5. 指示メモを読む：windows.cmdline
   各プログラムがどんな命令で起動されたか。長い暗号のような文字列があれば要注意。
6. 電話の記録を見る：windows.netscan
   どのプログラムが、どこの相手とつながっていたか。
7. 書き換えられたメモを探す：windows.malware.malfind
   ほかのプログラムに入り込んだコードの「候補」を挙げる。最後に timeliner で、時刻のある出来事をまとめて並べることもできる。

※WindowsのほかLinux用（linux.pslist など）の虫めがねもあります。考え方は同じで、名前の頭が変わります。

2.28.2を手元に入れて数えると、虫めがね（プラグイン）の名前は181、Windows用だけで80種類以上ありました（旧名の重複を除いた数）。全部を覚える必要はありません。最初はこの6つで十分です。

Volatility 3はPythonで動きます（3.8以上）。パソコンを汚さないよう、仮想環境（専用の小部屋）に入れるのがおすすめです。Windowsのコマンドプロンプトなら、こう入力します。

一覧の先頭に Volatility 3 Framework 2.28.2 と出れば成功です。あとは、写真（メモリダンプ）のファイル名を -f で渡し、虫めがねの名前を続けます。

実際の出力は、たとえばこんな形です。公式チュートリアルに載っている例（CTFのメモリダンプ）から、一部の行と列を抜き出しました。

PIDはプログラムの番号、PPIDは呼び出した親の番号です。PPIDをたどると「誰が誰を呼んだか」がわかり、それを木の形にしたものが windows.pstree です。

2026年10月時点の落とし穴：Python 3.14では一部の虫めがねが動かない

筆者のパソコン（Python 3.14.4）で試したところ、pip install volatility3 自体は成功し、2.28.2が動きました。ただし、そのままでは14個の虫めがねが読み込めないと表示されました。

• pycryptodome を追加すると、パスワード関係（hashdump など）の3種類は読み込めるようになりました。
• 残る8つ（YARAを使う検索など）は、YARAのPython部品 yara-python がPython 3.14向けの配布物をまだ出していないため動きません（PyPIで確認した最新4.5.4は3.13まで）。まとめて入れる pip install "volatility3[full]" も、3.14ではビルドに失敗しました。
• そのため、上の例ではPython 3.13で小部屋を作る（py -3.13）形にしています。2.27.0からは、Pythonを入れずに使えるWindows用の実行ファイル一式（約44MBのZIP）もGitHubのリリースページで配られています（筆者は未実行）。

見取り図（シンボル）はどうする？

Windowsの写真なら、初回にMicrosoftのシンボルサーバーから見取り図の元（PDB）を自動で取ってきて変換し、保存します。そのためインターネットにつながっている必要があります。つながらない環境では、公式が配っている見取り図のパック（windows.zip）を symbols フォルダに置きます。Linuxの写真は、カーネルの細かな違いまで一致する見取り図が必要で、自分で用意するのが基本です（詳しくは最後の章）。

メモリフォレンジックらしい考え方を1つだけ覚えるなら、これです。同じものを、違う方法で2回数えて、食い違いを探す。

では、練習です。次の2つは、ある写真から取り出した名簿と名札の一覧です（練習用に作った架空の例）。

Volatilityは2007年のBlack Hatで発表された道具が始まりで、長く「Volatility 2」が使われてきました。2019年に全面的に書き直した3が出て、2025年5月16日の「パリティ版」（2.26.0）で、2と同等の機能がそろったと公式が発表。同時に2は廃止され、GitHubのリポジトリはアーカイブ（凍結）されました。

ネット上の解説やCTFの解答には、まだ2のコマンド（vol.py -f … --profile=… pslist）がたくさん残っています。2用に作られた追加の虫めがねは3では動きません。たとえばJPCERT/CCが公開したマルウェア設定の抽出ツール「MalConfScan」も、2用（--profile を使う形）です。

Volatility 3そのものは、写真を読むだけの道具です。危ないのは写真（メモリダンプ）の扱いと、結果の読み方です。

• 🔴 危険
  メモリダンプは機密の塊：机の上には、開いていた文書、表示中のWebページ、ログイン中の情報、暗号の鍵などがそのまま載っています。Volatility 3にも、パスワードのハッシュを取り出す虫めがね（hashdump など）があります。人に送らない、オンラインの解析サービスに上げない、暗号化したドライブに保管する。
• 🔴 危険
  任されていないパソコンで撮らない：家族や同僚のものでも、勝手にメモリを撮れば中のプライバシーを丸ごと持ち出すことになります。会社のパソコンは、会社の手順と担当者の判断で撮ります。
• 🟡 注意
  撮ることで、机は少し動く：取得ツール自身もメモリを使うので、写真は「完全にそのまま」ではありません。だから撮った時刻・使ったツール・ハッシュを記録し、何をしたかを残します。取得には管理者の権限が必要で、セキュリティソフトに止められることもあります。
• 🟡 注意
  結果は「候補」：malfind は、ブラウザなど、動きながらプログラムを組み立てる正規のソフトにも反応することがあります。1つの虫めがねの結果で「ウイルス確定」としないで、名簿・指示メモ・電話の記録と照らし合わせます。
• 🟢 安心
  読むのはオフラインでもできる：Windowsの見取り図を自動で取りに行くとき、問い合わせに使うのはOSの版を表す識別子（PDBの名前やGUIDなど）で、写真の中身を送る仕組みではありません。それでも外とつなぎたくない場合は、見取り図のパックを置いて --offline を付けます。

Volatility 3は専門家の道具です。でも「メモリには消える証拠がある」という知識は、誰にとっても役に立ちます。自分に近いものを選んでください。

• A：とくに困っていないこの記事は知識としてで十分です。覚えておくのは1つ、「おかしいと思っても、すぐ再起動しない」。
• B：自宅のパソコン・スマホがおかしい個人が自分でメモリを撮って調べる必要は、ふつうありません。まずウイルス感染の自己チェックの手順で確かめましょう。
• C：会社のパソコンで感染の疑い電源は切らず、LANケーブルを抜く・Wi-Fiを切る。そのうえで情報システム担当者に連絡し、指示を待ちます。自分でツールを入れて撮ろうとしないこと。
• D：調べる側になりたい・学びたい練習用のメモリダンプで、STEP 5の順に虫めがねを使ってみましょう。CTFの問題も良い教材です（FAQの「練習用のメモリダンプは？」）。

1. 「すぐ再起動しない」を、職場の合言葉にする。感染を疑ったら、電源は入れたまま、LANケーブルを抜く・Wi-Fiを切る。そして担当者に連絡。連絡先をパソコンの外（紙やスマホ）にも控えておきます。
2. 会社なら「誰が、何で、どこに撮るか」を決めておく。取得ツール、保存先の外付けドライブ（搭載メモリより大きいもの）、記録の書式、外部の専門業者の連絡先。いざというときに探していては間に合いません。
3. 学ぶ人は、練習用ダンプで6つの虫めがねを一周する。Python 3.13の小部屋にVolatility 3を入れ、windows.info → pslist → psscan → cmdline → netscan → malware.malfind。pslistとpsscanの食い違い探しから始めましょう。

基本データ（2026年10月3日に確認）

• 開発：Volatility Foundation。GitHub volatilityfoundation/volatility3（既定のブランチは develop、安定版は stable）。
• 最新版：2.28.2（2026年9月17日）。PyPIの volatility3、Python 3.8以上。
• 対応OS（公式発表）：Windows XP〜11とServer版（32/64ビットIntel）、Linux 2.6.18以降。ARMは開発中。macOSは対象外。
• 虫めがねの数（筆者の環境で vol -h）：名前は181（windows 91・linux 59・mac 23ほか。旧名の重複を含む）。
• 品質：リリース前に、Volexityが管理する約500のWindows・Linuxのメモリサンプルで、前の版との比較テストを行うと公式が説明。
• 同梱物：コマンドの vol と、対話的に中を調べる volshell。

覚えておくと便利なオプション

※-r や --filters など全体の設定は、虫めがねの名前より前に書かないと効きません（公式ブログより）。

最近の版（GitHubリリースより）

証拠集めの順番（RFC 3227より）

揮発性（消えやすさ）の高い順に、レジスタ・キャッシュ → ルーティング表・ARPキャッシュ・プロセス表・カーネルの統計・メモリ → 一時ファイルシステム → ディスク → 遠隔のログ → 物理構成 → 保管媒体。避けることとして「収集が終わるまでシャットダウンしない」「調べるシステム上のプログラムを信用しない」のほか、ネットワークから外すと、それを検知して証拠を消す仕掛けが動くことがある点も挙げています。現場では、被害の広がりを止めることと証拠を残すことのバランスを、担当者や専門家が判断します。