インシデント対応

フォレンジックふぉれんじっく

デジタル証拠ログ解析インシデント対応マルウェア解析証拠保全不正アクセス調査

フォレンジックについて教えて

簡単に言うとこんな感じ！

サイバー犯罪や情報漏えいが起きたとき、「何が・いつ・どうやって起きたか」をデジタルの痕跡から調べる”IT版鑑識捜査”だよ！裁判の証拠にも使えるように、正確な手順で証拠を集めて分析するんだ。

フォレンジックとは

デジタルフォレンジック（Digital Forensics） とは、コンピューターやネットワーク上に残されたデジタルデータを科学的・法的に有効な手順で収集・保全・解析し、インシデント（セキュリティ事故）の全容解明や原因究明を行う技術・手法の総称です。「フォレンジック（forensic）」はラテン語の「法廷の」を意味し、もともとは法医学（遺体の解剖捜査）で使われていた言葉です。それがデジタル分野に応用されました。

サイバー攻撃・情報漏えい・内部不正などが発覚したとき、企業は「何が盗まれたのか」「攻撃者はどこから侵入したのか」「いつから被害が続いていたのか」を把握しなければなりません。フォレンジックはその疑問に答えるための調査プロセス全体を指します。調査結果は社内報告だけでなく、警察への被害届・訴訟での証拠・行政への報告 にも活用されるため、証拠の取り扱いには厳格なルールが求められます。

フォレンジックで重要なのは「証拠の完全性（インテグリティ）」の維持です。調査の過程でデータを書き換えてしまうと、証拠として無効になります。そのため、専用ツールで元データを変更せずに複製（イメージ取得）してから解析を行う、という手順が標準的です。

フォレンジック調査の流れ

フォレンジック調査は大きく4つのフェーズで進みます。

フェーズ	内容	主な作業
① 証拠保全	データを”そのまま”確保する	ディスクのイメージ取得、ハッシュ値記録、電源状態の記録
② 解析	保全したデータを調べる	ログ解析、削除ファイルの復元、マルウェア解析
③ 評価・関連付け	事実関係を整理する	タイムライン作成、アクセス経路の再現、被害範囲の特定
④ 報告	結果を文書化する	調査報告書の作成、再発防止策の提言

証拠保全の「チェーン・オブ・カストディ」

証拠が「誰の手に渡ったか」を記録し続けることを チェーン・オブ・カストディ（Chain of Custody／証拠管理の連鎖） と呼びます。証拠を受け取った人・日時・場所・状態をすべて記録することで、「証拠が改ざんされていない」ことを証明できます。裁判で証拠能力を認めてもらうために不可欠な手続きです。

ハッシュ値による改ざん検知

ディスクのイメージを取得する際は、ハッシュ値（データの”指紋”となる固定長の文字列）を記録します。後から同じ計算をして同じ値が出れば「データは一切変わっていない」と証明できます。主に MD5 や SHA-256 が使われます。

フォレンジックの主な種類

対象となるデジタル資産の種類によって、調査手法が異なります。

┌──────────────────────────────────────────────────┐
│              デジタルフォレンジックの種類           │
├──────────────┬───────────────────────────────────┤
│ 種類         │ 調査対象の例                        │
├──────────────┼───────────────────────────────────┤
│ ディスク     │ HDD/SSD・USBメモリの削除ファイル復元 │
│ フォレンジック│ ・ファイルアクセス履歴             │
├──────────────┼───────────────────────────────────┤
│ メモリ       │ RAM上の実行中プロセス               │
│ フォレンジック│ ・暗号化前データ・マルウェア痕跡   │
├──────────────┼───────────────────────────────────┤
│ ネットワーク │ パケットキャプチャ・フローログ      │
│ フォレンジック│ ・通信先IP・データ流出量の推定     │
├──────────────┼───────────────────────────────────┤
│ モバイル     │ スマートフォン・タブレット          │
│ フォレンジック│ ・通話履歴・位置情報・アプリ利用歴 │
├──────────────┼───────────────────────────────────┤
│ クラウド     │ SaaSのログ・オブジェクトストレージ  │
│ フォレンジック│ ・APIコール履歴・IAM操作ログ       │
└──────────────┴───────────────────────────────────┘

歴史と背景

1980年代: FBI（米連邦捜査局）が初めてコンピューター犯罪の証拠収集に着手。「コンピューター分析・対応チーム（CART）」が設立される
1990年代: インターネットの普及にともない、電子メールや通信ログが犯罪捜査の証拠として利用されるようになる
1998年: 米国で「コンピューター詐欺・不正使用法（CFAA）」が整備され、デジタル証拠の法的位置付けが明確化
2001年: 米国同時多発テロを契機に、デジタル情報の迅速な解析ニーズが急増。FBI・NSAでフォレンジック専門部署が強化される
2000年代後半: 企業内での情報漏えい事件（ソニーや大手金融機関）が相次ぎ、民間でのフォレンジック調査需要が急増
2010年代: スマートフォン・クラウドの普及に伴い、「モバイルフォレンジック」「クラウドフォレンジック」が新領域として確立
2016年〜: GDPR（EU一般データ保護規則）・改正個人情報保護法などにより、インシデント時の調査・報告義務が法制化。日本でも大手企業がフォレンジック会社と顧問契約を結ぶケースが増加

フォレンジックとインシデント対応の関係

フォレンジックは単独で行われるのではなく、インシデントレスポンス（IR） という一連のプロセスの中に組み込まれています。

フォレンジックは「③ 証拠保全」と「④ 解析」を担当します。この調査結果が封じ込め・根絶・報告フェーズの判断材料になります。重要なのは、証拠保全は封じ込めより先に行うこと。急いでサーバーを再起動したり初期化したりすると、メモリ上の証拠が消えてしまいます。

フォレンジックと「ログ管理」の違い

観点	ログ管理	フォレンジック
目的	平常時の監視・運用	事後の原因究明・証拠収集
タイミング	常時	インシデント発生後
主体	情報システム部門	専門調査員・外部業者
法的効力	低い（設定次第）	高い（手順を守れば証拠能力あり）

規格・RFC番号	内容
RFC 3227	デジタル証拠の収集・保管に関するガイドライン（証拠収集の順序・原則を定義）
ISO/IEC 27037	デジタル証拠の識別・収集・取得・保全に関する国際標準ガイドライン
ISO/IEC 27042	デジタル証拠の解析・解釈に関する国際標準ガイドライン
NIST SP 800-86	NISTによるフォレンジック調査手順のガイドライン（Guide to Integrating Forensic Techniques）