@article{oai:ipsj.ixsq.nii.ac.jp:00194396,
 author = {山内, 利宏 and 時松, 勇介 and 谷口, 秀夫 and Toshihiro, Yamauchi and Yusuke, Tokimatsu and Hideo, Taniguchi},
 issue = {2},
 journal = {情報処理学会論文誌},
 month = {Feb},
 note = {従来のハードディスクを調査対象とするデジタルフォレンジック手法は，ファイルシステムに痕跡を残さない攻撃に対処できない．また，ハードディスク上の証拠が改変されるのを防ぐためにシステムの電源断や処理の停止を必要とし，システムの可用性を低下させる．本論文では，可用性を考慮したプロセスの複製によるライブフォレンジック手法を提案する．提案手法は，プロセスを調査対象とし，対象プロセスの仮想記憶空間を複製して，低オーバヘッドでスナップショットを作成し，複製先のプロセスのメモリ上の証拠を収集する．このようにプロセスの複製処理において，プロセスのテキスト部などのメモリ間コピーを抑制することで，システムの可用性への影響を抑制しつつ，ファイルシステムに痕跡を残さない攻撃に対処できる．また，周期的に処理を実行するプロセスに提案手法を適用した場合の遅延時間を評価した結果，および提案手法の有効性について述べる．, Most conventional digital forensic methods are designed to target hard disk drives, making them ineffective at detecting in-memory malware. In addition, in order to prevent a target system from changing the evidence on hard disk drives, it is necessary to shut down the system or stop its processing, reducing system availability. In this paper, we propose a live forensic method using process duplication to maintain high system availability. The proposed method duplicates the virtual address space of a target process for investigation, and obtains the relevant evidence from the duplicate. By reducing the occurrence of memory copy in the duplication process, it is possible to detect in-memory malware while retaining system availability. We describe the effectiveness of the proposed method, and furthermore, evaluate and report on the delay time when this method is applied to a periodically executing process.},
 pages = {696--705},
 title = {可用性を考慮したプロセスの複製によるライブフォレンジック手法},
 volume = {60},
 year = {2019}
}