証拠収集と証拠保全の連鎖

インシデント対応中に収集したデジタル証拠は、法的手続き、人事上の措置、規制当局による審査で使用される場合があります。証拠能力と完全性を維持するため、適切な手順に従って証拠を収集、保全、文書化する必要があります。

証拠のカテゴリ：

• 揮発性：RAMの内容、実行中のプロセス、ネットワーク接続 — 再起動すると失われる
• 不揮発性：ディスクイメージ、ログファイル、データベースレコード
• ネットワーク：パケットキャプチャ、NetFlowレコード
• アプリケーション：アクセスログ、監査ログ、メール

システムの電源を切る前に、揮発性データを収集します：

ストレージメディアのフォレンジックイメージ（ビット単位のコピー）を作成します。元のメディアが変更されないよう、書き込み防止装置を使用します。ハッシュで検証します：

書き込み防止装置とは、イメージ取得中に証拠メディアへの書き込みを防止するハードウェアまたはソフトウェアの装置です。書き込み防止装置がない場合、イメージ取得処理そのものによってアクセス時刻などのメタデータが変更され、証拠が汚染される可能性があります。

証拠保全の連鎖は、誰が、いつ、なぜ証拠を取り扱ったかをすべて記録します。次の情報が含まれます：

• 証拠の識別子と説明
• 収集日時
• 収集者（氏名、署名）
• 保管場所
• 移管記録（誰が、いつ受け取ったか）

証拠を保全する方法：

• 元の証拠は封印してラベルを貼った証拠袋に保管する
• 検証済みのコピーだけを使って作業する
• 安全でアクセス制御された場所に保管する
• 完全性を検証するためハッシュ値を記録する
• 元の証拠メディアを使って作業しない

ログは、多くの場合、最も価値の高い証拠です。次のものを保全します：

訴訟や規制当局による調査が予想される場合は、リーガルホールド（関連する可能性のあるすべての記録を保全するよう指示する措置）を発行します。これにより、通常のデータ保持スケジュールが停止されます。保全を怠ると、証拠隠滅の責任を問われる可能性があります。

一般的なフォレンジックツール：

• Autopsy/Sleuth Kit — ディスクフォレンジック
• Volatility — メモリ分析
• Wireshark — パケットキャプチャ分析
• FTK Imager — ディスクイメージの取得
• SIFT Workstation — Ubuntuベースのフォレンジックディストリビューション

モバイルデバイスには専門的な取り扱いが必要です。リモートワイプを防ぐため機内モードを有効にし、信号を遮断するためFaradayバッグに入れます。モバイルのファイルシステムやアプリデータの構造に対応したモバイルフォレンジックツール（Cellebrite、Oxygen Forensic）を使用します。

揮発性メモリ（RAM）を他の種類の証拠より先に収集しなければならないのはなぜですか？

証拠を法的手続きで使用できるようにするには、適切な手順に従って収集する必要があります。揮発性データ（RAM、プロセス、接続）は再起動すると消失するため、最初に収集します。ディスクイメージの取得には書き込み防止装置を使用します。証拠保全の連鎖に関する文書を維持します。完全性を証明するため、すべてにハッシュ値を付けます。リーガルホールドによりデータの削除が停止されます。検証済みのコピーだけを使って作業し、元の証拠は決して使いません。