情報セキュリティ・暗号・認証 重要度:★★★出題: AM・PM
デジタルフォレンジックス
でじたるふぉれんじっくす / Digital Forensics
サイバー攻撃や犯罪の法的証拠を確保するため、電磁的記録の証拠保全・調査・分析を行う科学技術。
3行速習ポイント
- 攻撃侵入経路や被害範囲、情報漏えいの有無を客観的に解明する電磁的証拠保全・解析手法
- 原本ディスクのライトブロッカーによる書込防止とビット単位イメージ複製（クローン）が原則
- ハッシュ値による同一性検証（完全性証明）と保全から分析までの厳格な連鎖管理（Chain of Custody）が不可欠
図解
図デジタルフォレンジックスの標準4工程（収集・検査・分析・報告）プロセス・手順フロー
揮発性メモリ保全 ➔ ライトブロッカーによる複製 ➔ タイムライン復元 ➔ 法的証拠報告▶ 進行順序：1. Step 1: 完全性担保➔2. Step 2: 非破壊抽出➔3. Step 3: 因果解明➔4. Step 4: 法的証明
11. 収集・証拠保全（Collection）
Step 1: 完全性担保揮発性順序（RFC 3227）に従いRAM保全＆ライトブロッカーで原本複製
電源断で消滅するメモリ・通信セッションを最優先でダンプした後、書込防止装置（ライトブロッカー）を介してディスクのビットストリーム複製を作成し、原本と複製のハッシュ値一致を記録する。
22. 精査・検査（Examination）
Step 2: 非破壊抽出複製イメージから削除済みファイル・レジストリ・キャッシュを抽出
原本ではなく複製イメージに対して解析ツールを適用し、アンアロケート領域からの削除ファイル復元（カービング）やWindowsイベントログ・Prefetch・MFTの抽出を行う。
33. 分析・タイムライン復元（Analysis）
Step 3: 因果解明複数ログの時系列突合により侵入経路・横展開・漏えい範囲を特定
NTP時刻同期されたFW・プロキシ・AD・端末ログを時系列（タイムライン）で突き合わせ、初期侵入の原因、マルウェアの実行プロセス、外部C2通信およびデータ持出しの有無を解明する。
44. 報告・証拠提出（Reporting）
Step 4: 法的証明証拠保全の連鎖（Chain of Custody）を添えて調査報告書を作成
誰が・いつ・どのように証拠を扱ったかの管理記録（Chain of Custody）とともに、被害範囲・根本原因・再発防止策をまとめた客観的なフォレンジック調査報告書を経営陣や監督官庁へ提出する。
💡 午後記述の鉄則：①電源を切る前に揮発性の高いRAMメモリを保全する、②原本ディスクにはライトブロッカーを接続してビット単位複製を作る、③SHA-256ハッシュ値で原本と複製の同一性を証明する。
概要と本質
デジタルフォレンジックス（Digital Forensics）は、不正アクセスやランサムウェア感染などのセキュリティインシデント発生時に、原因究明や法的責任追及のために電磁的記録（ストレージ、メモリ、ログ）を証拠保全・解析する技術です。電磁的記録は改ざんや揮発が容易であるため、証拠能力を維持するための手順が極めて厳格に定められています。
重要ポイント・コア概念
- 証拠保全（ライトブロッカー使用、原本保全、ハッシュ値照合）
- ライブフォレンジックス（電源を切らず揮発性メモリ・通信セッションを最優先保全）
- タイムライン分析（イベントログ、MFT、Prefetchによる攻撃活動順序復元）
- 証拠保全の連鎖（Chain of Custody：誰がいつどこで扱ったかの完全記録）
応用情報（午前択一・午後長文記述）での出題・得点戦略
令和7年春期午後問1をはじめ午後記述で超頻出。設問で「証拠保全及び調査・分析を行う技術」と問われたら「デジタルフォレンジックス」と即答すること。また揮発性順位（RFC 3227）やハッシュ値による原本一致性担保の記述問題に対応できるようにしておくこと。
