フォレンジックとは

詳細な図解

フォレンジックを読むときの前提

フォレンジックは、証拠性を保ちながら端末、ログ、メモリ、ディスク、クラウド環境を調査し、何が起きたかを明らかにする活動です。

侵害調査、マルウェア感染、情報漏えい、法的対応で使います。実務では、証拠保全、取得手順、改変防止、ハッシュ値、時系列、関係者連絡を確認します。

証跡には、取得対象、取得者、取得時刻、保管場所、ハッシュ値、ツール、手順、解析結果、原本保護、引き渡し履歴を残します。

原本を保護して取得する

調査対象の端末やログを直接触ると、タイムスタンプや状態が変わることがあります。可能な範囲で原本を保護し、コピーやイメージを使って解析します。

取得時には、誰が、どの手順で、どの媒体へ保存したかを記録します。ハッシュ値を残すことで、後から改変有無を確認できます。

• 原本と解析用コピーを分ける。
• ハッシュ値を記録する。
• 取得手順を残す。

時系列で事象を並べる

ログイン、プロセス実行、ファイル作成、通信、権限変更、ログ削除などを時系列で並べると、侵入経路や横展開が見えます。

複数システムのログを使う場合は、時刻同期やタイムゾーンを確認します。時刻ずれを補正せずに結論を出すと、原因を誤ることがあります。

• NTPとタイムゾーンを確認する。
• 複数ログを相関させる。
• 時刻ずれを明記する。

解析結果と限界を分ける

フォレンジックでは、確認できた事実、推定、確認できない範囲を分けます。ログが欠落している場合や保全前に削除された場合は、その制約を明記します。

マルウェアや不審ファイルを扱う場合は、隔離環境、取り扱い権限、外部送付可否も確認します。機密情報や個人情報の扱いにも注意します。

• 事実と推定を分ける。
• 調査できない範囲を残す。
• 検体の取り扱いを管理する。

変更証跡と引き継ぎ

フォレンジックの結果は、インシデント報告、再発防止、法的対応に使われます。取得物、解析手順、結論、残課題を追跡可能にします。

引き継ぎでは、調査担当、システム所有者、法務/セキュリティ担当、関連語としてインシデント、監査ログ、IOC、NTPを残すと確認しやすくなります。

• 取得物の保管場所を残す。
• 解析手順を再現可能にする。
• 報告書の根拠を明記する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能