0Pricing
Cyber Security Academy · レッスン

フォレンジックの基礎と証拠保全

証拠を適切に取り扱います。

「フォレンジックの基礎と証拠保全」はCoddyKit上の無料Cyber Security Academyレッスンです。 これはレッスン1/4です。 下記で完全なレッスンを無料で読むことができます。その後、ブラウザ内の組み込みコードエディタと24時間対応のAIチューターでハンズオン演習できます。 これはCyber Security Academy学習パスの一部であり、ウェブとCoddyKitアプリ全体で進捗が同期されます。 Cyber Security Academyコースには全4レッスンが含まれています。

デジタルフォレンジックとは

デジタルフォレンジックとは、調査や法廷を含む厳しい検証に耐えられるよう、デジタル証拠を規律に基づいて収集、保全、分析することです。

単なるデータ復旧ではありません。重要な要件は防御可能性です。すべての作業を文書化し、再現可能かつ偏りのないものにする必要があります。

  • 関連する証拠の情報源の特定
  • 変更を加えない保全
  • 検証済みの手法を用いた分析
  • 明確で再現可能な報告書による提示

揮発性の順序

ライブインシデントに対応する際は、最も揮発性の高い情報源から最も低い情報源へ順に証拠を収集します。最も早く消失するデータを最初に取得する必要があります。

  • CPU レジスタとキャッシュ
  • ルーティングテーブル、ARP キャッシュ、プロセス一覧、ネットワーク接続
  • RAM（メモリ）
  • 一時ファイルシステム
  • ディスク
  • リモートログとアーカイブ媒体

RFC 3227 はこの原則を定めています。ディスクイメージを早すぎる段階で取得すると、ライブ RAM のアーティファクトを永久に失います。

証拠保全の連鎖

証拠保全の連鎖とは、誰が、いつ、なぜ証拠を取り扱い、何をしたのかを示す、文書化された時系列の記録です。

1つの空白でも証拠能力が失われる可能性があります。移管はすべて記録します。

  • その物品を誰が収集し、受け取ったか
  • その物品が何であるか（シリアル番号、ハッシュ、説明）
  • 各引き渡しがいつ行われたか
  • どこに保管されたか
  • 保全の担当が変わった理由
Custody Log Entry
-----------------
Item ID:    EVD-2024-0042
Description: 1TB SATA SSD, S/N WX21A8
SHA-256:    a3f1...9c2e
Collected:  2024-06-04 09:12 UTC by J. Doe
Received:   2024-06-04 11:30 UTC by Lab Custodian (signature)
Storage:    Evidence locker 3, tamper seal #00871

完全性を保つためのハッシュ計算

暗号学的ハッシュによって、証拠が変更されていないことを証明できます。取得時にハッシュを計算し、後から再計算します。値が一致すれば完全性が証明されます。

現代の標準として SHA-256 を使用します。MD5 と SHA-1 はレガシーツールにまだ登場しますが、衝突耐性が弱いため、多くのラボでは相互検証のために両方を記録します。

# Hash a source device before imaging
sha256sum /dev/sdb

# Hash the resulting image and compare
sha256sum evidence.dd

# Verify two hashes match exactly
diff <(sha256sum source.dd | awk '{print $1}') \
     <(sha256sum copy.dd   | awk '{print $1}')

書き込み防止装置

書き込み防止装置は調査担当者と証拠ドライブの間に置き、読み取りを許可しながら、物理的または論理的に書き込みを拒否します。これにより、取得中に元の媒体が変更されないことを保証します。

  • ハードウェア書き込み防止装置はインラインデバイスであり、法廷対応では推奨されます
  • ソフトウェア書き込み防止装置は OS のマウントを読み取り専用に設定します

ドライブを通常どおりマウントするだけでもアクセス時刻が更新される可能性があるため、元の媒体には書き込み防止装置が必須です。

# Linux software read-only mount (still prefer a hardware blocker)
blockdev --setro /dev/sdb
mount -o ro,noexec,noload /dev/sdb1 /mnt/evidence

# Confirm read-only state
blockdev --getro /dev/sdb   # 1 = read-only

元の証拠ではなくコピーを使う

黄金律は、検証済みのコピーを分析し、元の証拠を保全することです。元の証拠は保管場所に移し、できる限り触れないようにします。

ベストプラクティスは、少なくとも2つのコピーを作成することです。1つは分析用の作業イメージ、もう1つは手を加えずに保管するアーカイブ用マスターです。どちらもソースとハッシュが一致しなければなりません。

文書化とメモ

その場で記録したメモも証拠です。後から記憶を頼りにするのではなく、作業を実行しながら記録します。

  • すべての作業にタイムスタンプを付けます（曖昧さを避けるため UTC を使用します）
  • 現場とデバイスの状態を撮影します
  • ツール名とバージョンを記録します
  • 異常やエラーを記録します

書面に残っていなければ、法廷では実質的に起きなかったものと見なされます。

法的権限と範囲

何かに触れる前に、令状、同意、内部承認、適用される規制などの法的権限を確認します。範囲を超えると、事件全体が汚染され、調査担当者が責任を問われる可能性があります。

フォレンジックは管轄区域の制約を受けます。国境を越えるデータ、従業員のプライバシーに対する期待、データ保護法（GDPR、KVKK）によって、収集できる情報とその方法が制限されます。

再現性とツールの検証

調査結果には再現性が必要です。同じ証拠に対して検証済みのツールを別の調査担当者が使用した場合、同じ結論に到達できなければなりません。

そのため、ラボでは信頼できるバージョン管理済みのツール（可能な場合は NIST CFTT でテスト済みのもの）を使用し、ツールのバージョンを記録します。カスタムスクリプトや審査されていないスクリプトは、防御可能性を損ないます。

フォレンジック用ワークステーション

専用の隔離されたワークステーションを使用すると、証拠の相互汚染や、ネットワーク経由での意図しない流出を防止できます。

  • エアギャップ構成、または厳格なファイアウォール設定
  • イメージ保存用の対象メディアは無害化（消去 + 検証）済み
  • 検証済みのツールセット（Autopsy、Sleuth Kit、Volatility、Wireshark）
  • アクセスを記録
# Wipe and verify a target drive before storing an image on it
shred -vzn 1 /dev/sdc          # overwrite once with zeros
sha256sum /dev/sdc            # baseline of sterilized media

時間の経過における証拠の完全性

完全性は取得時だけでなく、保管期間全体にわたって証明できなければなりません。定期的に、また転送するたびに再ハッシュ計算を行い、取得時のベースラインと比較します。

  • 物理メディアに改ざん検知シールを貼る
  • アクセス制御と記録機能を備えた証拠保管場所
  • 証拠保全の引き渡しごとにハッシュ値を記録

後のハッシュ値が元の値と異なる場合、その証拠は侵害されたものとして扱われ、そこから得た所見には異議が申し立てられます。

# Re-verify a stored image against its acquisition baseline
echo 'a3f1...9c2e  evidence.dd' | sha256sum -c -
# evidence.dd: OK   -> integrity intact

確認テスト

証拠の取得順序について理解度を確認します。

まとめ

証拠能力を説明できるフォレンジック調査の基礎を学びました。

  • 揮発性の順序が収集の順序を決めます
  • 証拠保全の連鎖が引き渡しのたびに記録されます
  • ハッシュ計算（SHA-256）が完全性を証明します
  • 書き込み防止装置が原本を保護します
  • 常に検証済みコピーを使って作業します
  • 文書化、法的な調査範囲、再現性が証拠能力を支えます

次は、これらの原則を実際のディスクイメージ作成とアーティファクト復元に適用します。

よくある質問

「フォレンジックの基礎と証拠保全」レッスンは無料ですか？

はい。「フォレンジックの基礎と証拠保全」の完全なテキストはこのウェブで無料で読めます。インタラクティブに演習し（組み込みコードエディタと24時間対応のAIチューター）、Cyber Security Academyコースの残りをアンロックするには、CoddyKit PROにアップグレードしてください。 Cyber Security Academyコースには全4レッスンが含まれています。

「フォレンジックの基礎と証拠保全」で何を学びますか？

証拠を適切に取り扱います。 ブラウザで直接実行するハンズオンコードでCyber Security Academyを演習し、24時間対応のAIチューターがレッスンを進める中での質問に答えます。

Cyber Security Academyを始めるのに経験は必要ですか？

事前経験は必要ありません。CoddyKitのCyber Security Academyは初級者から上級者向けに構成されているため、ここから始めるか最初から始めて、自分のペースで進むことができます。 これはレッスン1/4です。

「フォレンジックの基礎と証拠保全」レッスンにはどのくらい時間がかかりますか？

ほとんどのCoddyKitレッスンは約5～10分かかります。各レッスンはコンパクトでインタラクティブなので、着実に進歩し、ウェブとアプリ全体で正確に前回の場所から再開できます。

このCyber Security Academyレッスンでコードを書いて実行できますか？

はい。すべてのCyber Security Academyレッスンに組み込みコードエディタが含まれているため、ブラウザでリアルコードを書いて実行し、即座のAIフィードバックを取得できます。ローカル設定は不要です。

このコースのすべてのレッスン

  1. フォレンジックの基礎と証拠保全
  2. ディスクイメージングとファイルシステム解析
  3. PCAPによるネットワークフォレンジック
  4. タイムライン分析とレポート作成
← Cyber Security Academyに戻る