インシデント対応・フォレンジック 重要度:★★★出題: AM2・PM1
デジタルフォレンジックス (証拠保全)
でじたるふぉれんじっくす / Digital Forensics & Evidence Preservation
不正アクセスや情報漏洩インシデント発生時に、法的証拠能力を維持しながら電磁的記録を収集・分析する科学的調査手法。
3行速習ポイント
- 揮発性の高い情報（メモリ・ネットワーク接続）から順に保全（RFC 3227 揮発性の順序）
- 原本ディスクのビット単位完全コピー（フォレンジックイメージ）を作成し、書き込み防止装置（ライトブロッカー）を使用
- SHA-256等のハッシュ値を原本と複製で照合し、証拠の同一性（Chain of Custody）を保証
図解
図インシデント初動におけるデジタルフォレンジック保全手順
11. ネットワーク隔離
封じ込め二次被害防止とC2通信切断
22. 揮発性メモリダンプ
ライブ取得RAM上のプロセス・暗号鍵保全
33. ライトブロッカー接続
物理保全原本ディスクへの書込み阻止
44. ハッシュ検証＆解析
真正性立証SHA-256一致確認・タイムライン分析
💡 RFC 3227「揮発性の順序」に従い、電源を切る前にRAMメモリダンプを取得し、ディスクはライトブロッカー経由で保全してSHA-256ハッシュ値で原本同一性を立証する
概要と本質
サイバー攻撃被害が発生した際、単に電源を切ったりOS上で調査コマンドを実行すると、メモリ内の攻撃コードやアクセスログなどの重要な電磁的記録が消失・汚染されます。フォレンジック手順に則り、ライブメモリ取得、ディスクイメージ保全、タイムライン分析を実施します。
重要ポイント・コア概念
- 揮発性順序：レジスタ/キャッシュ ➔ メモリ（RAM） ➔ ネットワーク状態 ➔ ディスク ➔ バックアップメディア
- 証拠保全：Write Blocker（書込み防止機器）を介したビットストリームコピー
- 真正性の立証：ハッシュ値計算、証拠取扱記録（Chain of Custody）の厳格作成
午後記述・情報セキュリティ対策での攻略ポイント
午後試験の設問で「電磁的記録の証拠保全、調査及び分析を行う手法の名称」や「電源を切る前にメモリをダンプする理由」として頻出します。
午後記述で使える加点キーワード（クリックでコピー）
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
