「マイクロソフトがセキュリティ診断ツールをオープンソースとして発表」記事へのコメント

処理内容

[jsi (25633)]

システムを運用しているといわゆるブルースクリーンと呼ばれる
画面になってシステムがダウンすることがあります。ブール
スクリーンが発生しますと、MEMORY.DMP というファイルが
%systemroot% に生成されます。あるいは、サービス
プロセスが落ちた場合、Dr.Watsonに検知されuser.dmpという
ファイルが出力されますので、これを元にデバッガで、どんな
ドライバやルーチンでsegmentation fault/violationが発生
したのか調査を進めていくことになるわけです。

一般的にはハードやドライバの異常などが考えられますが、
状況によってはスタックのリターンアドレスが書き換えられたり、
0x90(nop)などの文字列がスタックを書きつぶしていたりして、
exploitが試みられたとか、rootkit設置の試みが行われたのでは
ないかという疑念を持つこともあります。

このような解析にはしばしば経験と知識が必要となりますが、
本ツールはこのような解析を助けるツールであるようで、
どんなエラーが発生したのか、それは注意が必要なのかといった
点をサマライズして表示してくれるようです。

コンピュータの状態をどのようにサマライズするかは exploitable_rules.h
に記載がありますので、確認も可能です。

残念なことに「どんなrootkitが」といったsignatureは入っていませんものの、
将来的にどんなrootkitというレベルまで検知できるようになればいいと思います。