この分野で学べること
- デジタル証拠の基本的な扱い
- メタデータやログの調査
- 調査結果を根拠とともに整理する方法
初めての方はLevel 1から始め、解けたら次の難易度へ進むのがおすすめです。
フォレンジックを学べるCTF問題
ファイル、ログ、通信記録などの証拠を調べ、痕跡から起きたことを読み解く力を養います。
フォレンジックのチャレンジ
43件の問題から選べます。
Forensics Level 4: ★★★★☆ CloudTrailログから不正アクセスを検出せよ
AWS CloudTrailログを解析して、不正なIAMアクセスとデータ流出を検出しましょう。 クラウドフォレンジックを学びます。 提供ファイル: cloudtrail.json
Forensics Level 4: ★★★★☆ Dockerイメージレイヤーから秘密を抽出せよ
起動時に生成される `image/` は `docker save` 形式のイメージレイヤーです。各 `layer.tar` を解析し、後続レイヤーのホワイトアウトで最終ビューから削除された秘密ファイルを以前のレイヤーか...
Forensics Level 4: ★★★★☆ TLS暗号化されたHTTPS通信を復号せよ
安全なTLSフォレンジック用fixtureを解析してください。traffic.pcap は1件のTLSアプリケーションデータをテキストで表したキャプチャ、sslkeylog.txt は対応するキーログの記録です。実通信を...
Forensics Level 4: ★★★★☆ メモリからマルウェアのペイロードを抽出せよ
押収したメモリ文字列の記録 `memstrings.txt` を解析し、難読化された第2段ペイロードを復元してください。`stage2=` のBase64データを1バイトXORで復号し、復元したドロッパーのcampaig...
Forensics Level 4: ★★★★☆ メモリから隠されたカーネルモジュールを検出せよ
Linuxメモリ調査の2つのビューを再現した `modules_list.txt` と `sysfs_modules.txt` を比較し、連結リストから自身をアンリンクした隠しカーネルモジュールを特定してください。sys...
Forensics Level 4: ★★★★☆ 多段階ステガノグラフィを解読せよ
`cover.png` と `notes.txt` に隠された3段階の情報を追跡してください。PNGピクセルLSBのメッセージ、IEND後に付加されたBase64の手掛かり、そして指定段落のゼロ幅文字を順に復号してフラグ...
Forensics Level 4: ★★★★☆ 断片化されたJPEGファイルを復元せよ
`fragments/` にある断片と `.meta` サイドカーを解析して、断片化されたJPEGを復元してください。ファイル名ではなくSHA-256ハッシュチェーンで正しい順序を決め、復元したJPEGのCOMコメントか...
Forensics Level 4: ★★★★☆ 破損したRAID5アレイを復元せよ
3ディスクRAID5を安全なファイルレベルのパリティfixtureとして再構成してください。ブロックデバイス、mdadm、loopデバイスは使用しません。レイアウトと残存パリティ記録から失われたストライプのシークレットを...
Forensics Level 4: ★★★★☆ 複数のログを統合して攻撃シナリオを再構築せよ
`web.log`、`auth.log`、`db.log` を同じセッションIDで相関し、Web攻撃から認証成功、データベース照会へ続く侵害経路を再構築してください。最終的なデータベース結果行からフラグを取得します。
Forensics Level 5: ★★★★★ APT攻撃の全ステージを再構築せよ
`edr_process.log`、`proxy_http.log`、`dns_queries.log`、`dlp_transfer.log` の4ログを共通のキャンペーンIDで相関し、APTのキルチェーンを時系列に再構...
Forensics Level 5: ★★★★★ BitLocker暗号化ドライブをクラックせよ
BitLocker復旧キーの検証を安全なメタデータfixtureで学びます。bitlocker.img は実ボリュームではありません。候補キーのSHA-256を記録済みダイジェストと照合し、保護ペイロードを復元してくださ...
Forensics Level 5: ★★★★★ Bitcoinトランザクションに隠されたメッセージを抽出せよ
BitcoinのOP_RETURN解析を安全なオフライントランザクションfixtureで行います。transaction.json はブロックチェーンへの接続を必要としない記録です。nulldata出力の16進データをA...
Forensics Level 5: ★★★★★ IoTデバイスファームウェアから秘密鍵を抽出せよ
IoTファームウェア抽出を安全なtar形式rootfs fixtureで学びます。firmware.binは実機用イメージではありません。アーカイブを展開してSSH鍵メタデータを見つけ、埋め込まれたコメントを復元してくだ...
Forensics Level 5: ★★★★★ ハイパーバイザーメモリからVM情報を抽出せよ
KVMハイパーバイザーのゲスト状態解析を、安全なテキスト形式VMCS/ゲストメモリfixtureで行います。VMを起動・取得せず、ホストダンプ記録から対象ゲスト領域を特定してペイロードを復元してください。
Forensics Level 5: ★★★★★ プロセスホロウイング攻撃を検出せよ
`process_list.txt` と `image_regions.txt` を照合して、プロセスホロウイングの痕跡を検出してください。イメージベースがPRIVATEかつRWXで、ディスク上のハッシュと常駐ハッシュが...
Forensics Level 5: ★★★★★ 改ざんされたタイムスタンプを検出せよ
`mft_timeline.csv` のNTFS風タイムラインを解析し、各ファイルのSIとFNタイムスタンプを比較してください。FNの生成時刻がSIの更新時刻より新しい物理的に不可能な記録がtimestompingの痕跡...
Forensics Level 5: ★★★★★ 暗号化されたiOSバックアップを復号せよ
暗号化iOSバックアップのパスワード検証を安全なiTunesメタデータfixtureで行います。実iPhoneや実バックアップは使用しません。Manifest.plistのダイジェストと候補パスワードを照合し、記録済みメ...
Forensics Level 5: ★★★★★ 未知のLinuxカーネルバージョンのメモリプロファイルを作成せよ
カスタムLinuxカーネルのメモリプロファイル照合を安全な静的fixtureとして行います。vmlinux、custom_kernel.dump、profile.json にあるBUILD_IDを照合し、対応するシンボル...
Forensics Level 5: ★★★★★ 独自プロトコルのC&C通信を解読せよ
端末から送信されたビーコン記録 `beacon.log` を解析し、ダミー通信に紛れたcovert channelを復号してください。該当ホストのデータをseq順にBase64デコードし、1バイトXORを解除してフラグを...