アイテム2：マシンアナライザー

　Windowsシステムの詳細な分析ツールのソースとして特にお勧めしたいのがSysinternalsだ。同社は2006年7月、Microsoftに買収された。筆者は、いずれSysinternalsのツールの多くがWindows本体に統合されるものと期待しているが、それまでの間はこれらのツールをダウンロードして利用すればいい。必須のSysinternalsツールは以下の通りだ。

• 「Process Explorer」は、Windows Task Managerが本来備えるべき機能をすべて提供する。動作中のすべてのプロセスを表示し、これらのプロセスの関係の階層に加え、各プロセスが読み込んだDLLを示してくれる
• 「Filemon」と「Regmon」は、それぞれファイルシステムおよびレジストリに対するすべてのインタラクションをリアルタイムで記録する
• 「Process Monitor」は、Sysinternalsのツールセットに新たに追加されたプログラムだ。基本的に上記の3つのツールを統合したもので、マシンで動作中のすべてのプロセスを詳細に把握することができる
• 「Autoruns」プログラムは、システムの起動時あるいはユーザーがログオンしたときに自動起動されるプログラムをすべて表示する。スパイウェアは自動起動用ディレクトリやレジストリキーを操作することが多いため、このプログラムはマシンの状態を分析する際に不可欠だ
• 「TCPView」は、TCPとUDPポートの利用状況をグラフィカルに表示し、各ポートとそれを使用しているプロセスを関連付ける
• 「Strings」は、ファイルの文字列を画面上に表示する。コードの中に文字列を残したままにしておく不注意なマルウェアの作成者も少なくない。ASCII文字列が残されている場合も多く、StringsプログラムでUnicode文字列ではなくASCII文字列を検索するには、[-a]を付けて実行する
• 「RootkitRevealer」は、存在するファイルとレジストリキーに関して、システムが誤った情報を提供したかどうかを判定することでrootkitを検出する

　これらのツール（そして補助ツールとして、特定のプロセス、DLL、ファイル名を探すための簡単な検索エンジン）から得られる洞察は、マシン上での不正な挙動を特定するのに役立つ。

アイテム3：MBSA（Microsoft Baseline Security Analyzer）

　MBSAはMicrosoftが無償で提供する便利な診断ツールで、Windowsマシン上の何百項目にも及ぶ設定を調べ、そのセキュリティ状態を判定し、推奨設定を示してくれる。マルウェアの感染を招く恐れがある脆弱性（期限切れのパッチなど）を洗い出す機能もある。筆者は「Netcat」というツールも持ち歩いている。これは定評のあるネットワーク通信ウィジェットで、TCPコネクションあるいはUDPポートを通じて任意のデータを送信できる。ファイル（MBSAやClamAVが生成したリポートなど）をやりとりしたり、リモートシェルアクセスを実現したりすることも可能だ。

アイテム4：LADS（List Alternate Data Streams）

　フランク・ハイネ氏が開発したフリーウェアツールのLADSは、NTFSベースのファイルシステム上で代替データストリーム（ADS）を検索する。ADSはファイルを隠すことのできるファイルで、攻撃者が悪意のあるコードを隠ぺいするために用いることがある。Windows Vistaには、「dir」コマンドを「/r」フラグと組み合わせることによってADSを表示できる新しいオプションが追加されている。現実にはVista以前のマシンがまだ多いため、LADSのようなツールも必須のアイテムの1つだ。

アイテム5：VMware Player／VMwareセーフブラウジングアプライアンス

　VMware Playerは無償の仮想化アプリケーションで、Windowsマシン上でゲストマシンを動作させることができる。VMware Browser Applianceには、無償のUbuntu（DebianベースのLinuxディストリビューション）とFirefoxが含まれる。

　追加ツールをダウンロードするために、インターネットにアクセスしなければならない場合もある。ほかに適当なマシンが手元にない場合には（カクテルパーティーの会場にはないだろう）、トラブルに見舞われているマシンにVMwareをインストールすればいい。そうすれば、仮想マシンを使ってインターネットにアクセスできる。

　マルウェア対策用のUSBツールキットを作成したら、必ずリードオンリーに設定しておくこと。USBメモリの多くは、リードオンリーアクセス用の小さなハードウェアスイッチを備えているので、このスイッチを入れておくように。ツールキットにマルウェアが感染したら大変だからだ。筆者は、リードオンリーアクセスをハードウェア的にサポートしないUSBメモリは購入しないようにしている。

　最後に付け加えると、USBツールキットに含めるツールを、本記事で紹介したものだけに限定する必要はない。ニーズに合わせて、ほかのコンポーネントも自由に追加してツールキットを充実させていただきたい。ただし、ツールの機能を理解せずに何でもかんでもUSBメモリに詰め込んだりしないように。ツールの使用法を誤ると、さらに大きな被害をマシンに与えることにもなりかねない。ラボで実験用マシンを使ってツールの使用法を練習し、感染したマシンの修復で各ツールがどんな役割を果たすのかよく理解しておくこと。きちんと準備し、練習を積み重ねておけば、いざというときにマルウェア対策USBメモリがきっと役立つだろう。

本稿筆者のエド・スコウディス氏は、情報セキュリティコンサルティング会社Intelguardiansの創業者で、同社の上級セキュリティコンサルタントを務める。専門分野はハッカーの攻撃と防御対策、情報セキュリティ業界、コンピュータプライバシー問題など。「Counter Hack Reloaded」（Prentice Hall）や「Malware: Fighting Malicious Code」（Prentice Hall）などの著作がある。同氏は2004年、2005年、2006年にセキュリティ分野のMicrosoft MVPを受賞したほか、Honeynet Projectにも携わった。