下のリンクをクリックしてダウンロードして下さい。

ダウンロードページを開く
（新しいウインドウが開きます）

• ファイル名：free_ffs-lc.zip
• ハッシュ(SHA-1)：
  1D39845DD686D646C4EBAD9F59AA7628EC464401

当社のファスト・フォレンジック調査サービス「Dr.セキュリティ® FFS」で使用するフォレンジックツールの一部を切り出した、無料で使用できるログ収集ツールです。

• 名称：『 フリーFFSログコレクター 』
  （旧名称：LTS-Logcollector）
• どなたでも無料でご使用頂けます。
• Windows 10 /11 に対応します。
• ファイル形式は取り扱いが容易な「.bat」です。
• 収集したデータのファイルハッシュを自動計算しますので、簡易のフォレンジックツールとしてご使用頂けます。

用途は主に、法人のIT担当者が業務PCに対して自力で簡易的にフォレンジック調査するような場面で使用されることを想定しております。

しかし特に制限等はございませんので、個人の方がご自宅のPCを調べるのにも使用できます。
また、手軽に使えますのでフォレンジック調査のトレーニングやインシデント対応の社内研修などに活用したり、ツールの仕組み（ソースコード等）を解読してフォレンジックツールの学習に役立てるというような使い方もアリかと思います。

ほか、タスクスケジューラで毎日実行してNASにログを集約するなど、社内の全端末のログを自動収集＆集中管理するような使い方もできます。

【凄い①】簡単なハッキングでコピー防止機能を突破

このログ収集ツール『フリーFFSログコレクター』には、通常のコピー操作では収集できないレジストリ等のファイルを強引にコピーするコマンドを実装しております。
それは特別に珍しいことではありませんが、同様の手法はセキュリティサービスで応用されたり、サイバー攻撃で悪用されたりする手法ですので、フォレンジック調査やサイバーセキュリティの初学者にとって良い学習材料になるかと思います。

【凄い②】標準的なWindowsの機能だけで実現

基本的にツール単独で動作します。インタプリタや追加ライブラリのインストールなど面倒な環境構築作業は不要です。マウス操作だけで使用できますので、フォレンジック調査が未経験の情シス／IT担当者様でも簡単に使用できます。

【凄い③】ソースコードを読めます

一般的にはコンパイル済みのexeを配布するのが通常ですが、このツールは敢えてバッチファイルの形で作成＆配布しておりますので、簡単にソースコードを読めます。しかも解読を楽にできるようコード中に開発時のコメント（REMコマンド）を残してあります。

単に使用するだけでなく、フォレンジックツールの学習材料としても役立つはずです。

イベントログ

「%SystemRoot%\System32\winevt\Logs」にある .evtx を丸ごとコピーします。

レジストリの一部

Windowsレジストリの内、インシデントの際に調べることが多い下記の物をコピーします。
DEFAULT, SAM, SOFTWARE, SECURITY, SYSTEM, Amcache.hve, NTUSER.dat, UsrClass.dat

全てのプリフェッチ

「%SystemRoot%\Windows\Prefetch」にあるプリフェッチファイルを丸ごとコピーします。

Web履歴

各ユーザーの、Edge, Chrome, Firefoxの履歴データをコピーします。

日本語入力「IME」のデータ

各ユーザーの、IMEの JpnIHDS.dat をコピーします。

ファイル／フォルダの履歴

ファイルを開く、フォルダを作成するなどの記録が残る履歴データ（WebCacheV01.dat）をコピーします。

後ほど詳しく手順を説明しますが、まず先に大まかに４ステップの流れをご案内します。

1. 取得：ツールをダウンロードする。
2. 設置：ツールのバッチファイルをCドライブにコピーする。
3. 実行：バッチファイルを実行する。
4. 完了：ログ等はzipにまとめてCドライブに保存されます。

ツールをダウンロード

当ページの「ツールの取得方法」にあるリンクよりzipをダウンロードして下さい。

バッチファイルをコピー

zipの中にある「ffs-lc.bat」を右クリックまたはCtrl+Cでコピーして下さい。

Cドライブにペースト

バッチファイルを実行

「ffs-lc.bat」をダブルクリックすれば実行されます。

【補足１】
もしウイルス対策ソフト等によりブロックされた場合は、当該ソフトの設定で許可するか、当該ソフトを停止させてから実行して下さい。

【補足２】
EDRを使用されている環境ですと、ログ収集処理をインシデントとして検知するはずです。（前述の通り、簡単なハッキングのテクニックでログ収集するためです。）

UAC許可

UAC（ユーザー アカウント制御）の画面で「はい」をクリックして下さい。

ログ収集処理

黒い画面が表示されてログ収集処理が始まります。
途中で見本の赤字部分のようなエラー表示が出ますが無視して良いです。
処理時間はPC毎に異なりますが、だいたい数分で完了します。

ログ等がCドライブに保存されます

下記２つのフォルダが作成されます。
①　ffs_logs
②　FFS-LC-BASE

①番はデータをまとめてzip圧縮した「証拠保全データ」が入っているフォルダです。
②番は圧縮前のデータが入っているフォルダです。

どちらも中身のログ等は同じですが、①番は保管および外部提出用のデータとして扱い、②番はご自身で解析するためのデータとしてご使用下さい。

しっかり解析して調べたい場合にはデジタル・フォレンジック専用の解析ツールが必要ですが、調査精度を気にせず簡易的に調べてみたいという場合は、無料のユーティリティソフトを使用すればGUIでログ等の内容を見ることができます。代表的なソフトを幾つかご紹介いたします。

イベントログの解析

Windowsに標準でインストールされているイベントビューアでログの内容を見ることができます。

レジストリの解析

「MiTeC Windows Registry Recovery」というソフトが便利です。
（参考サイト：https://www.mitec.cz/wrr.html）
このソフトの本来の用途はレジストリの修復や書き換えを目的としているようですが、他のPCからコピーしてきたレジストリを開くことができ、情報が見やすく整理されますので、フォレンジックの学習においても良く使用されている印象があります。

プリフェッチの解析

「WinPrefetchView」というソフトが便利です。
（参考サイト：https://www.nirsoft.net/utils/win_prefetch_view.html）
プリフェッチファイルが保存されているフォルダを指定すれば、中にあるプリフェッチを丸ごと解析できます。

Webブラウザの履歴の解析

代表的なブラウザであるEdge（現行のChromium版）,Chrome,FireFoxの履歴データは、「DB Browser for SQLite」というソフトで開くことができます。
（参考サイト：https://sqlitebrowser.org/）

IME日本語入力の解析

申し訳ございません。これを解析するための無料ソフトを私は存じておりません。
もしご存知の方がいらっしゃいましたら、情報提供頂けますととても有り難いです。

旧Egde, IE, ファイル／フォルダ履歴の解析

「ESEDatabaseView」というソフトが有名です。
（参考サイト：https://www.nirsoft.net/utils/ese_database_view.html）
【補足】このソフトでは履歴データの全行を取りこぼし無く読み取れないことがあるようですのでご注意下さい。当社でテストしたところGUI版だけでなくCLI版でも読み込めない行がかなり多くありました。

『無料ソフトで調べてみたけれど、何がなんだか良く分からなかった…』
というときは自動解析サービスをご利用下さい。

収集されたログを当社で自動解析し、人間が読みやすいように整理して一覧化したデータをお渡しします。

上の見本のように、「ファイル履歴」や「Web履歴」などなど、複数の項目を時系列（降順）で一覧化するので調査が大幅に楽になります。

上の見本は「退職者による営業秘密の持ち出し」のサンプルケースです。
見本の赤色部分を１番から（下から）順に見て下さい。
顧客名簿を共有ドライブからコピーし、USBメモリに保存した後、ファイル転送サービスにアクセスしている様子が分かります。

自動解析サービスでは次の項目を一覧化できます

表示項目を絞り込めます

赤枠部分で示す箇所にて、表示させるログを選択することができます。
不要な情報を非表示にすることで可読性を高められます。
【補足】赤枠より右側の項目は自動解析サービスには含まれません。通常の調査サービス「Dr.セキュリティ® FFS」のメニューとなります。

日付・時刻で絞り込めます

キーワード検索できます

特定のキーワードでログを横断的に検索できます。ファイル名、日本語入力、Webページのタイトルなどを横断的に検索したいときに便利です。

自動解析サービス料金：税込５万５千円

通常の調査サービス「Dr.セキュリティ® FFS」と同様、３台まで上記料金で対応可能です。

来店不要

フリーFFSログコレクターで収集したzipファイルを当社にお送り頂くだけでご利用可能です。
ファイル転送サービス（例：データ便、ギガファイル便）など、オンラインでの受け渡しなら簡単手間いらずです。

即日お渡し

自動解析処理は１台辺り数分で完了しますので、ほとんどの場合は即日で解析済みデータをお渡しできます。