インシデント対応

タイムライン分析たいむらいんぶんせき

フォレンジックインシデント対応ログ分析時系列証拠保全攻撃経路

タイムライン分析について教えて

簡単に言うとこんな感じ！

セキュリティ事故が起きたとき、「いつ・何が起きたか」をログや記録から時系列に並べて、攻撃の全貌を解明する手法だよ。犯罪捜査でいう「事件の再現」みたいなもので、「どこから侵入して、何を盗んで、いつ逃げたか」を証拠から読み解くんだ！

タイムライン分析とは

タイムライン分析とは、セキュリティインシデント（情報漏洩・不正アクセスなど）が発生した際に、複数のシステムログやイベント記録を収集・統合し、時系列順に出来事を整理することで攻撃の全体像を把握する調査手法です。デジタルフォレンジック（電子証拠の調査・分析）の中核を担う作業であり、「何が・いつ・どの順番で起きたか」を明らかにします。

具体的には、サーバーのアクセスログ、ファイルの作成・更新・削除の記録（タイムスタンプ）、認証ログ、ネットワーク通信履歴などを一つの時系列軸に統合します。これにより、攻撃者の侵入経路・横断移動（ラテラルムーブメント）・情報持ち出しのタイミングが視覚的に浮かび上がります。

タイムライン分析は、事後調査だけでなく、再発防止策の立案や、取引先・監督官庁への報告書作成にも直結します。「いつ被害が始まったか」が特定できれば、バックアップからの復旧ポイントの判断にも活用できる、実務直結の重要なプロセスです。

タイムライン分析の構造と進め方

ステップ	作業内容	主な証拠ソース
① 証拠収集	ログ・イメージファイルの保全	サーバーログ、EDRデータ、SIEM
② 正規化	各ソースの時刻をUTCに統一	タイムゾーン設定、NTPログ
③ 統合	複数ログを一本のタイムラインに結合	ログ集約ツール、SIEM
④ 分析	異常なイベント・パターンの特定	相関分析、ベースライン比較
⑤ 可視化	攻撃ストーリーの構築・図示	タイムライン図、報告書
⑥ 報告	関係者・当局への説明資料作成	インシデントレポート

覚え方：「証・正・統・分・可・報」

タイムライン分析の6ステップは 「証・正・統・分・可・報」 で覚えられます。「証拠を正しく統合して分析し、可視化して報告する」——そのまま手順の流れになっています。

収集すべき主なログの種類

システムログ：OS起動・シャットダウン、ユーザーログオン/オフ（Windowsイベントログ、syslog）
ファイルシステムログ：ファイルの作成・変更・削除のタイムスタンプ（MACtime：Modified / Accessed / Changed）
ネットワークログ：ファイアウォール・プロキシ・DNS・フローログ
認証ログ：Active Directory、VPN、クラウドサービスのサインイン記録
アプリケーションログ：Webサーバー、DBアクセス、メールサーバー
セキュリティツールログ：EDR（エンドポイント検知・対応）、SIEM のアラート履歴

歴史と背景

1990年代：デジタルフォレンジックの概念が生まれ始め、法執行機関がコンピューター犯罪の証拠収集に活用し始める
2001年：NIST（米国標準技術研究所）がインシデント対応ガイドライン（SP 800-61）の初版を公開。タイムライン構築が重要手順として位置づけられる
2005年前後：Brian Carrierらによる「The Sleuth Kit」などのオープンソースフォレンジックツールが登場し、MACtime形式でのタイムライン生成が標準化される
2010年代：企業への標的型攻撃（APT）が増加し、数ヶ月にわたる長期侵入の解明にタイムライン分析が必須となる
2015年頃〜：SIEM（Security Information and Event Management）の普及により、リアルタイムに近い形でタイムライン分析が実施できる環境が整う
2020年代：クラウド環境の普及でログが分散・多様化し、複数クラウドをまたぐタイムライン統合が新たな課題に。AIを用いた異常検知との組み合わせが進む

関連する技術・ツール・フレームワーク

タイムライン分析ツールの比較

ツール名	種別	主な用途	特徴
Autopsy / The Sleuth Kit	オープンソース	ディスクフォレンジック	MACtime形式でファイルタイムライン生成
Plaso / log2timeline	オープンソース	多様なログ統合	40種以上のログ形式を自動パース
Elastic SIEM (Kibana)	商用/OSS	リアルタイム分析	大量ログの可視化・相関分析
Splunk	商用	エンタープライズ向け	高度な検索・ダッシュボード機能
Volatility	オープンソース	メモリフォレンジック	メモリダンプからの時系列情報抽出
MISP	オープンソース	脅威インテリジェンス	攻撃者TTPs（戦術・技術・手順）との照合

攻撃フェーズとタイムライン上のイベント対応

以下のSVG図は、典型的な攻撃フェーズとタイムライン分析で検出する主なイベントの対応を示しています。

MITRE ATT&CK フレームワークとの連携

タイムライン分析で特定した各イベントは、MITRE ATT&CK（攻撃者の戦術・技術・手順を体系化したフレームワーク）のテクニックIDと照合することで、攻撃者の意図や手口をより精密に特定できます。

タイムライン上のイベント     ATT&CK テクニック例
─────────────────────────────────────────────────────
不審なPowerShell実行       → T1059.001 (Command and Scripting)
スケジューラーへの登録     → T1053.005 (Scheduled Task)
パスワードダンプツール実行 → T1003 (OS Credential Dumping)
大量ファイルの圧縮・転送   → T1560 (Archive Collected Data)

規格・RFC番号	内容
NIST SP 800-61 Rev.2	コンピューターセキュリティインシデント対応ガイド。タイムライン構築を含む調査プロセスを定義
NIST SP 800-86	フォレンジック調査のガイドライン。証拠保全・タイムライン分析の手順を解説
RFC 3227	証拠収集とアーカイブのガイドライン。揮発性の高いデータから順に収集する原則を定める