デジタルフォレンジックスとは ― 証拠保全の仕組み

デジタルフォレンジックスは、不正アクセスや情報漏えいが起きたときに、誰がいつ何をしたかを記録から明らかにする手法です。コンピュータやネットワークに残る電子データの記録を、電磁的記録と呼びます。この記録を、改ざんや消失を防ぎながら集めて調べ、証拠にします。「デジタルフォレンジック」や「デジタル・フォレンジック」とも書きます。

調べる対象は、PCやサーバーのディスクとメモリ・スマートフォン・ネットワーク機器のログなどです。慌てて原本の端末を起動したり書き込んだりすると、その操作で証拠そのものが変わります。電源を切れば、メモリの内容も消えます。

使う場面によって、説明の仕方が少し変わります。警察庁は、犯罪の立証のための電磁的記録の解析技術とその手続だと説明しています。民間のデジタル・フォレンジック研究会は、一連の科学的な手法と技術だと説明しています。インシデント対応や法的な紛争のときに、証拠保全と調査・分析を行うものです。

電磁的記録は、消去や改変が簡単です。そのため、警察庁の警察白書は、適正な手続で解析し証拠にすることが重要だと述べています。この手続の中心が証拠保全で、原本を変えずに残し、調査は複製で行います。

原本は、書き込み防止装置を通して読み出します。書き込み防止装置は、接続した記憶媒体への書き込みを防ぐ装置やソフトウェアです。そのうえで、原本のビット列を丸ごと複写します。

ファイルだけを写す方法では足りません。ファイルとフォルダだけを写す方法を、論理バックアップと呼びます。アメリカの国立標準技術研究所（NIST）によると、この方法では削除済みのファイルが残る領域を写せません。ビット単位で複写するビットストリームイメージは、空き領域を含めて写します。

集める順番にも目安があります。電源を切ると消える揮発性の高いデータは、残るデータより先に集めます。インターネットの技術文書RFC 3227は、次の順で集める例を挙げています。

1. レジスタとキャッシュ
2. ルーティングテーブル、ARPキャッシュ、プロセステーブル、カーネルの統計、メモリ
3. 一時ファイルシステム
4. ディスク
5. 対象のシステムに関係する遠隔のログと監視データ
6. 物理的な構成とネットワークトポロジ
7. アーカイブ用のメディア

同じRFCは、証拠の収集が終わるまでシャットダウンしないよう勧めています。シャットダウンすると、多くの証拠が失われるおそれがあるためです。攻撃者が、シャットダウンの処理を書き換えて証拠を消す仕掛けを残している場合もあります。

複製が原本と同じかどうかは、見た目では分かりません。ハッシュ関数は、入力が1ビット違うだけでも、ほぼ確実に別の値を出します。このため、同一性の確認に使えます。

NISTが示す手順は3つです。複製の前に、原本のハッシュ値を計算して記録します。複製のあとで複製のハッシュ値を計算し、記録した値と比べます。最後に原本のハッシュ値をもう一度計算し、複製の作業で原本が変わっていないことも確かめます。

ハッシュ値が証明するのは、記録した時点から中身が変わっていないことです。複製の前に原本へ書き込まれていないことは、書き込み防止装置と、作業の記録で示します。デジタル・フォレンジック研究会のガイドラインも、使った機器の情報と、原本と複製のハッシュ値を記録するよう求めています。

NISTのこの資料は2006年のもので、例にMD5とSHA-1を挙げています。この2つを新しい用途に勧めない理由は、ハッシュ関数の記事で説明しています。

原本のハッシュ値を計算できないこともあります。稼働中の機器から取得する場合や、ディスクに読み取れない箇所（不良セクタ）がある場合です。デジタル・フォレンジック研究会のガイドラインは、その場合は複製のハッシュ値だけを計算するとしています。

Chain of Custodyとは、証拠物を誰がいつ保管し、誰に引き渡したかを記録しておくことです。日本語では、証拠保全の一貫性と呼びます。

ハッシュ値は、データの中身が変わっていないことを示します。Chain of Custodyは、その間に誰がどう扱ったかを示します。どちらも、証拠が適切に扱われたことを後から説明するために必要です。

RFC 3227は、次の4つを記録するよう求めています。

デジタル・フォレンジック研究会のガイドラインは、複製先の媒体を提出・譲渡するときの記録も求めています。いつ、誰が、誰に、どこで、何を、どのような状態で手渡したかを、1件ずつ書きます。付録には、この記録に使うシートの例が付いています。

NISTのSP 800-86は、フォレンジックの手順を収集・精査・分析・報告の4段階で示しています。次の図で、感染が疑われる端末を例に、各段階で何をするかを1段ずつ確かめられます。

この分け方はNISTのものです。段階の数や名前は、資料によって異なります。デジタル・フォレンジック研究会の証拠保全ガイドラインは、証拠保全を中心に章を並べています。発生前の準備と発生直後の対応を先に置き、そのあとに対象物の収集・取得・保全が続きます。

NISTのSP 800-86は、題名のとおり、フォレンジックの技法をインシデント対応に組み込むための手引きです。CSIRTのインシデント対応の流れでは、対応の段階で事象を分析します。この分析に、フォレンジックの技法を使えます。

ただし、対応と証拠保全は衝突することがあります。端末の電源を切れば被害の広がりを抑えられますが、メモリの内容は消えます。NISTは、被害を封じ込める方法を、多くの場合は分析の担当者がインシデント対応チームと相談して決めるよう書いています。

脆弱性診断やペネトレーションテストは、事前に弱点を探します。デジタルフォレンジックスは、起きた事象の記録を調べて、事実を明らかにします。

• NIST SP 800-86「Guide to Integrating Forensic Techniques into Incident Response」（2006年。4段階の分け方、複製とハッシュ値の手順、Chain of Custody）
• RFC 3227「Guidelines for Evidence Collection and Archiving」（揮発性の順序、Chain of Custodyの記録項目）
• デジタル・フォレンジック研究会「証拠保全ガイドライン 第8版」（同一性の検証、記録、Chain of Custody）
• デジタル・フォレンジック研究会「デジタル・フォレンジックとは」（定義）
• 警察庁「令和元年版 警察白書」トピックスV（犯罪捜査での位置づけ）