ルートキットとは？

ルートキットの意味

侵入後に、不正なプロセス・ファイル・通信・ログを、OSの機能やAPIの応答を改変することで隠蔽するツール群。管理者から見て「何も起きていない」状態を作り出し、長期の潜伏を可能にする。

ルートキットの具体例

サーバのCPU使用率が高いのに、psやlsでは不審なプロセスもファイルも見えず、外部の通信ログにだけ深夜の大量送信が残っていた。OSの応答自体が改変されていると判断し、稼働中の調査を打ち切って停止・イメージ保全のうえ再構築した。

ルートキットは試験でどう引っ掛けられる？

OS上のツールでの調査は信用できなくなるため、外部媒体からの起動やディスクイメージの外部解析が必要になる。ブートローダやファームウェアに潜むもの（ブートキット）はさらに検出が難しい。

ルートキットと関連する用語

• セキュアブート
• EDR

ルートキットが出た過去問

• rootkitの特徴はどれか。

  正解：OSなどに不正に組み込んだツールを隠蔽する。

  要点：rootkitは侵入後の痕跡を隠蔽するツール群

  rootkitは、侵入後に設置した不正なプログラムやプロセス、通信、ログなどの痕跡を隠蔽し、侵入者が管理者権限で継続的にアクセスできるようにするツール群です。OSのコマンドやカーネルを改変して検出を逃れる点が特徴です。

  出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）

• ルートキットの特徴はどれか。

  正解：OSなどに不正に組み込んだツールを隠蔽する。

  要点：ルートキットは侵入の痕跡と不正ツールをOSごと隠す

  ルートキットは、攻撃者が侵入後に設置するバックドアや不正プロセス、ファイル、通信の痕跡をOSの機能を改変して見えなくする一連のツール群である。プロセス一覧やファイル一覧を返すAPIやカーネルの処理に介入するため、感染したOS上から通常の手段で発見するのは難しい。検出には外部媒体からの起動やメモリフォレンジックなど、対象OSに依存しない手法が必要になる。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問15（IPA）

• ルートキットの特徴はどれか。

  正解：OSなどに不正に組み込んだツールの存在を隠す。

  要点：ルートキットは侵入の痕跡と不正ツールをOSごと隠す

  ルートキットは、侵入後に設置したバックドアや不正なプロセス、ファイル、通信の痕跡を、OSの機能を改変することで見えなくする一連のツール群である。プロセス一覧やファイル一覧を返す仕組みに介入するため、感染したOS上から通常の手段で発見するのは難しい。検出には外部媒体からの起動やメモリの解析など、対象OSに依存しない手法が必要となる。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問14（IPA）