デジタルフォレンジクス

よみがな: でじたるふぉれんじくす

英語名称・略称: Digital Forensics

1行要約（本質）

サイバー攻撃や不正アクセス、機密持ち出しが発生した際に、電子的記録（ログ・メモリ・ディスク）を証拠保全・解析・究明する技術。

3つの重要ポイント

法的証拠性を担保するため、データの改ざんが起きていないことを証明する「証拠保全（ライトブロッカー、ハッシュ値計算）」が第一歩。

揮発性データ（メモリ、ネットワーク接続状態）から順に保全する「揮発性の順序」を守る。

インシデントの侵入経路、被害範囲、影響を受けた個人データを特定し、公的機関への報告や訴訟に備える。

構造・プロセスの図解

図デジタルフォレンジクスの4大調査手順

証拠保全から原因究明・報告への厳格なフロー

11. 証拠の保全 (Collection)

改ざん防止・完全複製

ネットワーク遮断後、ライトブロッカーでディスクの完全イメージ複製とハッシュ記録。

22. 証拠の検査 (Examination)

データの抽出・復元

削除されたログ、不審な実行ファイル、揮発メモリの残骸を展開。

33. 原因の分析 (Analysis)

タイムライン再構成

侵入経路（初期アクセス）、横展開、データ持ち出しの痕跡を時系列解明。

44. 報告書の作成 (Reporting)

法的主張・公的報告

個人情報保護委員会や警察、被害者向けに客観的事実を取りまとめ。

概要・背景・本質

サイバー攻撃を受けた際、慌ててサーバーの電源を切ったりOSを再起動すると、メモリ上に残っていた攻撃者の痕跡やマルウェアのコードが消滅してしまいます。デジタルフォレンジクスは、証拠の完全性を保ったままディスクのビット単位コピー（フォレンジック・イメージ）を作成し、隠蔽されたログや削除されたファイルを復元・解析します。

コア概念と着眼点

証拠の保全：ライトブロッカー（書込防止装置）を用いて複製し、ハッシュ値（SHA-256等）で同一性を証明
揮発性の順序（Order of Volatility）：メモリ・レジスタ ➔ キャッシュ ➔ ディスク ➔ リモートログの順に消去されやすいため順次保全
チェーン・オブ・カスターディ（保管連続性）：証拠品を誰がいつどこで扱ったかの受領・保管記録を厳格管理
タイムライン分析：ログのタイムスタンプを横断結合し、攻撃者の侵入から侵害拡大までの行動履歴を時系列復元

ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント

午前IIで「揮発性の順序（メモリがハードディスクより先）」「ライトブロッカーの役割」「ハッシュ値による同一性証明」が出題される。午後I記述では、インシデント発生時の初動対応として「電源を切るのではなく、ネットワークケーブルを抜いて証拠保全を行う」手順が問われる。