デジタルフォレンジクス

3行要約（速習ポイント）

• 1法的証拠性を担保するため、データの改ざんが起きていないことを証明する「証拠保全（ライトブロッカー、ハッシュ値計算）」が第一歩。
• 2揮発性データ（メモリ、ネットワーク接続状態）から順に保全する「揮発性の順序」を守る。
• 3インシデントの侵入経路、被害範囲、影響を受けた個人データを特定し、公的機関への報告や訴訟に備える。

概念・アーキテクチャ図解

証拠保全から原因究明・報告への厳格なフロー

概要・背景・本質

サイバー攻撃を受けた際、慌ててサーバーの電源を切ったりOSを再起動すると、メモリ上に残っていた攻撃者の痕跡やマルウェアのコードが消滅してしまいます。デジタルフォレンジクスは、証拠の完全性を保ったままディスクのビット単位コピー（フォレンジック・イメージ）を作成し、隠蔽されたログや削除されたファイルを復元・解析します。

コア概念と着眼点

• 証拠の保全：ライトブロッカー（書込防止装置）を用いて複製し、ハッシュ値（SHA-256等）で同一性を証明
• 揮発性の順序（Order of Volatility）：メモリ・レジスタ ➔ キャッシュ ➔ ディスク ➔ リモートログの順に消去されやすいため順次保全
• チェーン・オブ・カスターディ（保管連続性）：証拠品を誰がいつどこで扱ったかの受領・保管記録を厳格管理
• タイムライン分析：ログのタイムスタンプを横断結合し、攻撃者の侵入から侵害拡大までの行動履歴を時系列復元

ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント

午前IIで「揮発性の順序（メモリがハードディスクより先）」「ライトブロッカーの役割」「ハッシュ値による同一性証明」が出題される。午後I記述では、インシデント発生時の初動対応として「電源を切るのではなく、ネットワークケーブルを抜いて証拠保全を行う」手順が問われる。

小論文で使える実践フレーズ・キーワード

関連するITストラテジスト重要用語

『デジタルフォレンジクス』が出題された関連過去問演習