デジタルフォレンジックとは？証拠収集・解析手順・インシデント調査への活用をわかりやすく解説

ランサムウェアに感染した翌朝、「どこから侵入されたのか」「何のデータが持ち出されたのか」を経営層にすぐ説明できますか。
法的手続きやサイバー保険の申請では、「たぶんこうだと思います」では通りません。攻撃の全体像を再現し、客観的な証拠として提出できるデータが必要です。

そこで頼りになるのがデジタルフォレンジックです。

この記事では、デジタルフォレンジックの基本概念から調査の具体的な手順、中小企業でも今すぐ始められる準備まで、現場で使えるレベルで解説します。

デジタルフォレンジックとは？

デジタルフォレンジック（Digital Forensics）とは、コンピュータやネットワーク上のデジタルデータを科学的に収集・保全・解析し、インシデントの原因究明や法的証拠の確保を行う技術・手続きの総称です。

「フォレンジック（forensic）」はもともと「法廷の」を意味するラテン語由来の言葉です。単なる技術調査とは異なり、証拠の完全性を保ちながら調査を進めるという点が最大の特徴です。

デジタルフォレンジックが求められる主な場面は次の通りです。

・ランサムウェア被害後の原因究明: 侵入経路・感染範囲・流出データを特定しなければ、再発防止策を打てません
・サイバー保険申請・警察への被害届: 客観的な証拠データがなければ申請・届出が困難です
・個人情報保護法・GDPRへの対応: 漏洩が疑われる場合、調査記録の提出を求められることがあります
・内部不正の調査: 退職者による情報持ち出しや、従業員による不正操作の痕跡を特定できます

フォレンジック調査の3つの基本原則

1. ロカールの交換原則

犯罪捜査の古典的な原則ですが、デジタル世界にも当てはまります。「攻撃者はシステムに何かを残し、システムから何かを持ち去る」という考え方です。ログファイル・レジストリ変更・ネットワーク接続履歴など、攻撃の痕跡は必ずどこかに残ります。この「痕跡を読む力」がフォレンジックの核心です。

2. 証拠の完全性（ハッシュ値の記録）

取得したデータが改ざんされていないことを証明するために、SHA-256などのハッシュ値を記録します。調査前後でハッシュ値が一致すれば、データが変更されていないことを客観的に証明できます。法廷での証拠採用においても重要なステップです。

3. 揮発性の高いデータを優先する

メモリ（RAM）上の情報やネットワーク接続状態は、電源を切ると失われます。「揮発性の順序（Order of Volatility）」を意識し、消えやすいデータから優先的に取得することが鉄則です。

揮発性の高い順に並べると次のようになります。

・CPUレジスタ・キャッシュ（最も揮発性が高い）
・メモリ（RAM）上のプロセス・接続情報・暗号化キー
・ネットワーク接続状態・ルーティングテーブル
・ディスク上のファイル・ログ（揮発性は低いが上書きされやすい）
・バックアップ・アーカイブ（最も安定）

主な調査対象と取得できる情報

調査の流れ（4ステップ）

1. 特定・初動対応

インシデントを検知したら、まず状況を把握し、証拠を失わないための初動行動を取ります。

・対象システムの特定: 感染・侵害された可能性のある機器をリストアップします
・操作の最小化: 不必要なコマンド実行・ファイルアクセスはタイムスタンプを変更し、証拠を毀損する可能性があります
・ネットワーク切断の判断: ランサムウェアが稼働中はネットワーク切断が感染拡大防止に有効ですが、メモリ上の証拠取得とのトレードオフになります。この判断を事前に手順書で決めておくことが重要です
・タイムライン記録の開始: 発見日時・対応者・操作内容をすべて記録します（後のレポートの根拠になります）

2. 証拠保全（フォレンジックイメージング）

調査対象のディスクやメモリを、元のデータを変えずにビット単位でコピー（フォレンジックイメージ）します。

ディスクのイメージングにはライトブロッカー（書き込みを防ぐハードウェア）を介してコピーを取得します。コピー前後でSHA-256ハッシュ値を記録し、完全性を担保します。以下はLinuxでのイメージング例です（参考用です。実施前に専門家への確認を推奨します）。

# ディスクのフォレンジックイメージング例
# dd if=/dev/sda of=/mnt/evidence/disk.img bs=4M status=progress

# イメージング前後のハッシュ値を記録して完全性を証明する
# sha256sum /dev/sda > /mnt/evidence/disk.sha256.source
# sha256sum /mnt/evidence/disk.img > /mnt/evidence/disk.sha256.copy
# 2つのハッシュ値が一致すれば、完全なコピーが取得できている

メモリの取得には Linux 向けの LiME（Linux Memory Extractor）などのツールを使います。メモリ上には実行中プロセスや暗号化キーが含まれるため、ディスクより先に取得することを意識してください。

3. 解析・検査

取得したイメージを専用ツールで解析し、攻撃のタイムラインを再現します。主な解析作業の例を示します。

・タイムライン分析: ファイルの作成・変更・アクセス時刻（MACtime）を時系列で並べ、攻撃の流れを再現します
・削除ファイルの復元: 攻撃者が削除したファイルや、マルウェアが自己削除したファイルを復元します
・メモリ解析: プロセスツリー・ネットワーク接続・メモリ内に展開された悪意あるコードを特定します
・ログ相関分析: 複数のログソースを時系列で統合し、侵入から横展開までの経路を特定します

代表的なオープンソースフォレンジックツールを紹介します。

・Autopsy: GUIベースのディスクフォレンジックツール。削除ファイルの復元・タイムライン分析・ブラウザ履歴の可視化が可能。Windows・Linux・macOS対応
・Volatility: メモリフォレンジック専用ツール。実行中プロセス・ネットワーク接続・プロセスインジェクションの痕跡を抽出できる
・The Sleuth Kit (TSK): ファイルシステムのコマンドラインフォレンジックツール。Autopsyのバックエンドでもある
・Wireshark / tcpdump: ネットワークパケットのキャプチャ・解析。事前にキャプチャが取れている場合に有効
・FTK Imager: ディスクイメージング専用ツール（無償版あり）。証拠保全に特化した設計で、ハッシュ値検証も自動で行う

これらのツールは正規の調査目的・学習目的での使用が前提です。他者のシステムに無断で使用した場合は不正アクセス禁止法に抵触します。詳細は法律の専門家にご確認ください。

4. 報告・法的手続き

調査結果を文書化し、経営層・法務部門・警察・保険会社に提出できる形式でレポートをまとめます。

レポートに含めるべき要素はこちらです。

・インシデントのタイムライン: 侵入から発覚までの時系列の再現
・影響範囲: 侵害されたシステム・流出した可能性のあるデータの範囲
・攻撃経路: 最初の侵入口と横展開の手順
・証拠の完全性の証明: イメージング前後のハッシュ値記録と検証結果
・再発防止策の提言: 技術的・運用的な改善案とその優先度

中小企業でも今日からできること

1. ログの保存期間を最低90日に延長する

フォレンジック調査で最も困るのは「ログが残っていない」ことです。侵入から発覚まで数週間かかるケースも多く、デフォルトの保存設定では遡れないことがよくあります。

LinuxのrsyslogやWindowsのイベントログの保存期間を、最低90日・できれば180日に延長しましょう。集中ログサーバーを構築すれば、攻撃者がローカルログを消去した後でも調査が可能です。

# /etc/logrotate.d/syslog の設定例（保存期間延長）
# デフォルトは多くの環境で4週間程度
# 以下のように変更して26週（約半年）の保存に設定する

# rotate 26     # 26ローテーション分を保存
# weekly        # 週次でローテーション
# compress      # 古いログをgzip圧縮
# missingok
# notifempty

Linuxのrsyslogを使ったリモートログ転送については、姉妹サイトLinuxMaster.JPのログ管理記事も参考にしてください。

2. インシデント対応手順書に「証拠保全ステップ」を追加する

既存の手順書に次の2点を追加するだけでも、インシデント発生時の調査品質が大きく変わります。

・電源を切る前に、実行中プロセス一覧・ネットワーク接続状態をファイルに書き出す
・調査用コピー（フォレンジックイメージ）を取得してから解析する。元のディスクは直接操作しない

3. インシデント対応の外部窓口を事前に選定しておく

インシデント発生後に専門業者を探すのでは時間がかかります。JPCERT/CCや警察庁のサイバー犯罪相談窓口、民間のフォレンジック専門業者を事前にリストアップし、連絡先を手順書に記載しておきましょう。

よくある誤解と注意点

【誤解1】「とりあえず電源を切れば安全」

電源を切ると、メモリ上の情報（暗号化キー・実行中プロセス・ネットワーク接続状態）がすべて失われます。フォレンジック観点では、電源を切る前にメモリ上の主要情報を記録するのが原則です。ただし、ランサムウェアが暗号化を継続している場合はネットワーク切断を優先するなど、状況に応じた判断が必要です。この判断基準を手順書に事前に明記しておくことが重要です。

【誤解2】「ファイルをコピーすれば証拠になる」

通常のファイルコピー（cp・robocopy等）ではタイムスタンプが変更され、削除済みファイルも取得できません。法的証拠として使えるのは、ライトブロッカーを使ったビット単位のフォレンジックイメージのみです。

【誤解3】「フォレンジック調査は外注すれば済む」

専門業者への依頼は適切ですが、業者が到着するまでの数時間で揮発性の証拠は失われます。初動の証拠保全（ログの即時バックアップ・実行中プロセスの記録）は社内で行える体制が前提です。外注は解析フェーズから、というのが現実的な分担です。

【注意】法的・倫理的な側面

他者のデバイスやシステムを無断で調査すると不正アクセス禁止法に抵触します。社内端末であっても、就業規則での明記・従業員への事前通知が必要なケースがあります。フォレンジック調査の実施前に、必ず法律の専門家にご確認ください。

本記事のまとめ

インシデントは起きてから準備するのでは遅すぎます。ログ保存期間の見直しと手順書への保全ステップ追加だけなら、情シス1人でも今日中に着手できます。

攻撃者の痕跡は必ずどこかに残っています。それを見つける準備が、最終的に企業を守る力になります。