ディスクイメージ取得とファイルシステムフォレンジック

フォレンジックイメージングでは、証拠の完全性を維持しながら、ストレージメディアをビット単位で複製します。元の証拠を変更してはなりません。書き込み防止したコピーを使用して作業します。元の証拠とコピーをハッシュ化し、完全に同一であることを検証します。

ハードウェア書き込み防止装置は、書き込みコマンドが証拠ドライブに到達するのを物理的に防ぎます。ソフトウェア書き込み防止ツール（dc3dd、FTK Imager）は、OSレベルの書き込みを防ぎます。証拠ドライブを接続する前に必ず書き込み防止装置を使用し、証拠が誤って変更されるのを防ぎます。

ddはrawディスクイメージを作成します。dc3ddは進捗表示、ハッシュ化、分割出力の機能を追加するため、大容量ドライブに不可欠です。パフォーマンス向上のためにbs=4096を使用します。証拠のハッシュとイメージのハッシュが一致することを確認し、完全性を証明します。

FTK Imagerは、Windowsでディスクイメージを作成するためのGUIを提供します。E01（Expert Witness Format）をサポートしています。E01はイメージを圧縮し、ハッシュ、取得情報、調査担当者のメモをファイルヘッダーに保存します。証拠のフォレンジック標準形式です。

FAT32では、ファイルのメタデータをディレクトリエントリに、割り当てチェーンをFile Allocation Tableに保存します。削除されたファイルでは、ディレクトリエントリに0xE5マーカーが残ります。FATチェーンはゼロ化されますが、データクラスターが残っている場合があります。復旧ツールはこれらの残存データを使用します。

NTFSでは、すべてのメタデータをMaster File Table（MFT）に保存します。各MFTレコードは1つのファイルを記述します。$LogFileには、クラッシュ復旧のための変更が記録されます。$UsnJrnl（変更ジャーナル）には、すべてのファイル操作が記録されるため、削除後であってもタイムラインの再構成に役立つ貴重な情報源です。

AutopsyとSleuth Kitは、割り当て解除されたデータクラスターを持つ完全なMFTエントリをスキャンし、ファイルカービングを行うことで削除されたファイルを復元します。ファイルシステムのメタデータに関係なく、rawクラスターのデータからファイルのマジックバイト（シグネチャ）を特定します。

ファイルカービングは、未割り当て領域からヘッダーとフッター（マジックバイト）に基づいてファイルを復元します。JPEGはFF D8 FFで始まります。PDFは25 50 44 46で始まります。ZIPは50 4B 03 04で始まります。主要なカービングツールはScalpelとPhotoRecです。

Autopsyは、MAC時刻（Modified、Accessed、Changed）と$UsnJrnlのエントリからタイムラインを生成します。侵害が疑われる時刻の前後でフィルタリングし、どのファイルが作成、変更、削除されたかを確認します。これにより、攻撃者の行動を時系列で再構成できます。

Windowsレジストリには、インストール済みソフトウェア、USBデバイス（USBSTOR）、最近使ったドキュメント、最後にログインしたユーザー、Runキーによる永続化が記録されます。Registry ExplorerとRegRipperは、ディスクイメージからレジストリハイブを抽出して解析し、アーティファクトを分析します。

ブラウザの履歴、Cookie、キャッシュファイル、フォームデータはSQLiteデータベースに保存されます。ChromeはLevelDBを使用します。これらのアーティファクトを抽出すると、攻撃者による偵察活動、情報流出の準備、Webベースのコマンドチャネルが明らかになります。

ディスクフォレンジックは、ライトブロッカーを使用したフォレンジック上適切なイメージ取得とハッシュ検証から始まります。NTFSのMFT、$UsnJrnl、レジストリハイブ、ブラウザデータベース、未割り当て領域からのファイルカービングを組み合わせることで、侵害されたシステム上の攻撃者の活動を再構成できます。