Windowsメモリダンプと「!analyze -v」コマンド

---

DKOMベースWindows内部解析技術の適応分野

　本「IT談話館」は、Windowsメモリダンプの解析作業では、次のようなDKOM(Direct Kernel Object Manipulation)ベースの解析工程を採用しています。

1. 「Windowsカーネルアーキテクチャー」知識を基に問題仮説を設定する。
2. 上記問題仮説をC/C++とMASMの仕様を継承する「WinDbg内部解析専用言語」で独自解析コードとして実装する。
3. 上記解析コードを実行し、設定した問題仮説の真偽を実証する。
4. （必要に応じて）上記の工程を繰り返し、直面する問題を解決する。

　この解析工程は次のような広範囲の分野に適応できます。

• システムクラッシュ原因の解析と特定
• パフォーマンス低下因子の解析と特定
• アプリケーション性能の分析と評価
• マルウェア感染の解析と対策
• Windowsカーネルアーキテクチャーの内部解析と研究
• Windowsソフトウェアビジネス動向の調査と研究

　Windowsメモリダンプ解析作業は、いろいろな視点から行われますが、現在では、次のような視点の優先度が高いようです。

• アプリケーションの性能分析と評価
• システムクラッシュ原因の解析
• パフォーマンス低下因子の特定
• マルウェア感染の診断・分析
• メモリフォレンジック

　本「IT談話館」は、Windows XPからWindows 10までのシステム環境で採取されたメモリダンプの解析ビジネスを展開しています。システムクラッシュ原因を特定する作業においては、WinDbgに付属するいくつかのコマンドを実行するだけで十分なこともあります。しかし、Windows 10はSAAS（Software As A Service）として提供されており、その内部はいろいろな理由と事情から日々更新されている、と認識あるいは覚悟する必要があります。OS更新時には、システムクラッシュに加え、その他のさまざまな微妙な問題が発生する可能性を排除できません。DKOM(Direct Kernel Object Manipulation)ベースのWindowsメモリダンプ解析工程は、設定した問題仮説をC/C++とMASMの仕様を継承する「WinDbg内部解析専用言語」で実装できるため、上記すべての適応範囲と優先度にきわめて「柔軟、かつ、効率的」に対応できます。

　次のページでは、DKOM(Direct Kernel Object Manipulation)ベースのWindowsメモリダンプ解析工程の中心となる問題仮説の設定工程の一端をご紹介します。

前へ　｜　 次へ