セキュリティ・法務・リスクマネジメント重要度:★★出題: AM2・PM1

デジタルフォレンジクス

でじたるふぉれんじくす / Digital Forensics

サイバー攻撃や不正アクセス、機密持ち出しが発生した際に、電子的記録（ログ・メモリ・ディスク）を証拠保全・解析・究明する技術。

3行速習ポイント

法的証拠性を担保するため、データの改ざんが起きていないことを証明する「証拠保全（ライトブロッカー、ハッシュ値計算）」が第一歩。
揮発性データ（メモリ、ネットワーク接続状態）から順に保全する「揮発性の順序」を守る。
インシデントの侵入経路、被害範囲、影響を受けた個人データを特定し、公的機関への報告や訴訟に備える。

図解

図デジタルフォレンジクスの4大調査手順プロセス・手順フロー

証拠保全から原因究明・報告への厳格なフロー

▶ 進行順序：1. Step 1➔2. Step 2➔3. Step 3➔4. Step 4

11. 証拠の保全 (Collection)

Step 1

改ざん防止・完全複製

インシデント検知時、揮発性の高いメモリ領域から順にデータを保全し、ライトブロッカー（書込防止装置）を用いてディスクを完全複製してハッシュ値で同一性を証明する。

22. 証拠の検査 (Examination)

Step 2

データの抽出・復元

保全した複製イメージから、攻撃者が隠蔽・削除したイベントログ、一時ファイル、レジストリ変更履歴、マルウェアの実行痕跡や通信履歴を専門ツールで抽出・復元する。

33. 原因の分析 (Analysis)

Step 3

タイムライン再構成

複数サーバー・端末・ファイアウォールのログを時刻同期（NTP）ベースで横断結合し、初期侵入経路から権限昇格・横展開・情報窃取までの攻撃タイムラインを解明する。

44. 報告書の作成 (Reporting)

Step 4

法的主張・公的報告

特定した侵入原因・漏えい範囲・影響有無を客観的証拠（保管連続性記録付き）とともに報告書へまとめ、経営陣への報告や監督官庁届出・再発防止策の根拠とする。

💡 午前IIでは揮発性の順序（メモリ優先保全）とライトブロッカーが頻出。午後I記述ではインシデント初動で電源を切らずにネットワーク遮断・証拠保全する手順を答える。

概要と本質

サイバー攻撃を受けた際、慌ててサーバーの電源を切ったりOSを再起動すると、メモリ上に残っていた攻撃者の痕跡やマルウェアのコードが消滅してしまいます。デジタルフォレンジクスは、証拠の完全性を保ったままディスクのビット単位コピー（フォレンジック・イメージ）を作成し、隠蔽されたログや削除されたファイルを復元・解析します。