日本語

← 一覧に戻る

析镜 LensAnalysis オープンソース化：Volatility 3 ベースのGUIメモリフォレンジックツール、CTFプレイヤーの強い味方

itadol5j

メモリフォレンジックには昔からハードルがあった。Volatility は強力だが、コマンドライン引数が多すぎて挫折させられる。そのハードルを取り払ったオープンソースツールが登場した――Volatility 3 ベースのグラフィカルなメモリフォレンジックツール「析镜 LensAnalysis」、9月15日に正式にオープンソース化された。

メモリフォレンジックツール

開発者は hilyary。2026年の国家ネットワーク安全宣伝週（9月14日〜20日）に合わせてソースコードを公開した。テーマはちょうど「サイバーセキュリティは人民のために、人民とともに――知能時代、サイバーセキュリティが守る」。時期の選び方は実にタイムリーだ。

それが解決するペインポイント

メモリフォレンジックをやる人なら誰でも知っているが、Volatility 3 は業界標準のフレームワークでありながら、完全にコマンドライン操作だ：プラグイン名を覚え、引数を合わせ、シンボルテーブルは自分で用意する必要がある。CTF競技の現場では時間がなく、インシデント対応の現場ではプレッシャーが大きく、引数を一つ打ち間違えれば長時間を無駄に待つことになりかねない。

LensAnalysis がやっていることはシンプルだ：Volatility 3 の全機能にグラフィカルなUIをかぶせた。左パネルでプラグインを選び、クリックで実行、結果は右側にリアルタイム表示。スマートキャッシュも備え、繰り返し操作は秒単位で応答する。

対応する分析機能

Windows、Linux、macOS の3プラットフォームをカバーし、プラグイン数もかなりのものだ：

Windows（60以上のプラグイン）：

  • プロセス分析：pslist、pstree、psscan、dlllist、handles、cmdline
  • ネットワーク分析：netscan、netstat（完全なタイムスタンプ付き）
  • レジストリ：hivelist、printkey、certificates、userassist
  • マルウェア検出：malfind、ldrmodules、hollowprocesses
  • パスワード抽出：hashdump、lsadump、cachedump
  • サービススキャン：svcscan、svclist

Linux：pslist/pstree/psaux/envars、netstat/sockstat/ip_addr/ip_link、lsmod/check_modules/check_syscall、bash コマンド履歴の抽出、lsof/list_files/mount_info、malfind/check_idt/check_afinfo。

macOS：pslist/pstree/psaux/envars、netstat/ifconfig、lsmod、lsof/list_files/mount、timers/kauth_listeners/vfsevents。

Volatility 3 グラフィカルプラグイン

本当に楽になる機能

  • Flag検索：一般的なFlag形式（flag{xxx}）を自動検索。CTFプレイヤーの強い味方
  • 正規表現検索：カスタム正規表現でメモリからデータを掘り起こす
  • 文字列抽出：すべての印字可能文字列をワンクリックで抽出
  • Linuxシンボルテーブル自動作成：公式ソースから dbgsym デバッグシンボルパッケージを自動ダウンロードし、Volatility 3 の ISF 形式に変換。Ubuntu、Debian、CentOS に対応――シンボルテーブルを手動で探す必要はもうない
  • プロキシ対応：HTTP/HTTPS/SOCKS5。内部ネットワーク環境でもシンボルテーブルをダウンロードできる
  • レポート出力：Markdown、HTML、Word の3形式

あの「シンボルテーブル自動作成」は単独で称賛に値する。Volatility 3 を使ったことがある人なら分かるが、シンボルテーブルは最大の落とし穴の一つだ――ディストリビューションごと、カーネルバージョンごとに対応するシンボルが必要で、手動で作れば丸1日を消費しかねない。この機能がそれを完全に自動化した。

インストールと使い方

3プラットフォームともパッケージが用意されている：

  • Windows：LensAnalysis.exe をダウンロードしてダブルクリックで実行。初回起動時に利用規約を読んで同意し、ウェルカム画面で個人IDを入力して進む（現在はオープンソース化済みで、マシンコードやアクティベーションコードは不要）
  • macOS（12+）：.dmg をダウンロードして Applications にドラッグ。初回起動時は右クリック→「開く」が必要
  • Linux：.tar.gz をダウンロードして解凍し run.sh を実行。ソースコードからの実行にも対応

使い方は4ステップ：イメージをロード（.raw/.mem/.vmem など、種類は自動検出）→ 左側でプラグインを選んで実行 → 右側で結果を確認 → レポートをエクスポート。

⚠️ Windows インストーラは Python でパッケージされており、コード署名がまだないため、一部のアンチウイルスソフトが誤検知する場合がある。必ず公式 Releases からダウンロードすること。

ライセンス：非商用は無料、商用は要許諾

ここははっきりさせておきたい。落とし穴に踏まないために：

  • ✅ 個人学習、セキュリティ研究、CTF競技、教育、許可されたペネトレーションテストとインシデント対応――すべて無料
  • ✅ 原作者と著作権情報を保持すれば、改変、頒布、非商用の二次開発が可能
  • ❌ 書面による許諾がない限り、ソフトウェアの販売、有料サービスの提供、商用製品への統合は不可
  • ❌ 著作権情報の削除・改変は不可。改変版を公式版と偽ることも不可

商用利用にはまず原作者に連絡し、書面による許諾を得る必要がある。完全な条項はリポジトリ内の LICENSE が優先する。

メモリイメージ分析レポート

なぜ注目に値するのか

メモリフォレンジックはインシデント対応と脅威ハンティングの核心的スキルだが、ツールチェーンは昔から「ハードコア」寄りだった。LensAnalysis の意義はハードルを下げたことにある――新しい車輪を発明したのではなく、Volatility 3 という成熟したエンジンに扱いやすい外殻をかぶせ、さらにシンボルテーブルという最大の落とし穴まで埋めた。

CTFプレイヤーには時間を節約し、インシデント対応担当者には誤操作を減らし、教育現場にはメモリフォレンジックを教えやすくする。オープンソース＋非商用無料で、参入障壁は極めて低い。

もちろん、ツールはあくまでツールだ。フォレンジックの質を本当に決めるのは、メモリ構造への理解と分析のアプローチだ。だが少なくとも今、コマンドライン引数を覚える悩みからは解放された。

メモリフォレンジックをより簡単に――このスローガン、それは担える。

プロジェクトURL：github.com/hilyary/LensAnalysis
オープンソース化日：2026年9月15日
ライセンス：非商用は無料、商用は要許諾