Dr.セキュリティ®

【新サービス】脆弱性診断(セキュリティ診断)のサービスを受注開始しました
→ 費用を抑えるコツの記事も公開中です

社名変更のお知らせ - 旧社名:LTセキュリティ から、新社名:Dr.セキュリティ へ変更しました

まるわかり解説①
デジタルフォレンジックとは

パソコンやスマホを調べる「デジタルフォレンジック」という調査方法に関して、専門知識ゼロの人にも分かりやすいよう、なるべく簡単な言葉と表現で説明します。

この記事を書いた人

Dr.セキュリティ®
代表技術者 冨田 圭介

DFプロ認定資格保有
① CDFP-B(基礎資格)
② CDFP-P(実務者資格)
冨田 圭介

デジタルフォレンジック
 ≒ デジタル機器の詳細な調査

フォレンジック調査のイラスト

デジタルフォレンジックとは・・・

  1. デジタル機器などに対してデータ収集・証拠保全をおこなう。
  2. 過去の履歴やデータの内容などを詳細に調査する
  3. そして調査結果を証明する
原則として上記①~③までを含めてデジタルフォレンジックと言います。

略して「フォレンジック」や、「フォレンジック調査」と言うこともあります。
また、文書においては頭文字をとってDF(ディーエフ)と表記されることもあります。

【補足】厳密に言いますとデジタルフォレンジックという用語にはとても細かく意味が定義されているのですが、このページでは「わかりやすさ」を優先し、一般の方にとって難しい説明をなるべく省略します。

デジタルフォレンジックの用途

私達の身の回りにはITが溢れ、そしてITに関連する事故や犯罪などが日常的に発生しています。

情報漏洩、ウイルス、ハッキング、犯罪

ITの事故や犯罪(サイバー・インシデント)が発生したとき、損害が軽微な場合は仕方なしに泣き寝入りすることもありますが、損害が重い場合にはそうもいかず、原因解明のための調査や、法的措置のための証拠収集を必要とされることが多いです。

また、ITが直接に関係していない犯罪、例えば殺人事件や詐欺事件などの場合でも、犯人が使用したスマホやパソコンを調べるケースは多いです。

それらのような調査において役立つのが、デジタルフォレンジックの手法・技術です。

フォレンジック調査の目的等の図

上図の左側のような目的(事故対応、証拠収集、原因解明など)で、図の右側のような機器(パソコン、スマホ、サーバーなど)を調べるときに、デジタルフォレンジックの手法・技術を用いた調査がおこなわれます。ちなみに当社では、デジタルフォレンジックの調査業務を「フォレンジック調査」というサービス名称で提供しております。

デジタルフォレンジックに対する
よくある誤解(データ復旧との混同)

下図の上側のように、データ復旧という大きな括りの中にフォレンジックがあるように認識されている方が意外と多いですが、それは誤解です。

正誤の図

フォレンジックとデータ復旧はそれぞれ別の分野です。ただし、図の下側のオレンジ色の領域(フォレンジックとデータ復旧が重なる箇所)が示すように、両者で共通する技術を用いることが度々あります。
例えば・・・

  • フォレンジックにおいて、証拠隠滅されたデータを復旧させるときや、犯人に破壊された機器からデータを収集するときなどに、データ復旧と同じ技術が用いられます。
    言い換えると、調査するためにデータ復旧する、ということです。
  • データ復旧において、データの原本の復元が難しいときに、原本の写しのデータを探索するためフォレンジックと同じ技術が用いられます。
    言い換えると、データ復旧するために調査する、ということです。

フォレンジック調査の事例

情報漏洩事故

個人情報や営業秘密情報などの漏洩事故、情報窃取の事件が発生したときなどに、経緯や原因の解明、証拠収集、犯人特定などのためにフォレンジック調査が依頼されます。

社内不正

企業の内部における各種の不正に対してフォレンジック調査が依頼されます。
【例①】退職者による営業秘密情報の持ち出しの調査
【例②】不良社員による横領・着服などの調査
【例③】不正会計の調査

マルウェア感染

マルウェア(コンピュータ・ウイルス)に感染したときや、不正アクセスなどのサイバー攻撃受けたときなど、状況確認や原因解明などを目的としてフォレンジック調査が依頼されます。

裁判、調停、協議

裁判、調停、協議などのために、パソコンやスマホの中にある証拠データを収集するフォレンジック調査が依頼されます。法的措置においてはフォレンジックが事実上必須になっています。証拠の捏造や改竄を防ぐための証拠保全おこなって「真正な証拠である」と証明する必要があるからです。

犯罪捜査

デジタルフォレンジックの源流は犯罪捜査です。警察が容疑者から押収したパソコンやスマホを捜査するときなど、犯罪捜査のための技術・手法がもともとのフォレンジックです。

上記は代表的な事例です。この他にも、契約トラブルへの対応、お子様のネットトラブルへの対応、失踪者の行方を探すときなど、本当に様々なケースでフォレンジック調査が活用されています。世の中にはITが溢れており、様々なトラブルにおいてITが関連するため、フォレンジック調査の利用シーンも様々です。
下記リンク先のページで、よくある事例だけでなく珍事件など多数の調査事例を掲載しております。

→ まるわかり解説②『フォレンジック調査の事例』

デジタルフォレンジックの種類

デジタルフォレンジックと一口に言っても、その対象機器や手法などによって色々な種類のフォレンジック方法があります。

対象物ごとの種類

  • PCフォレンジック
  • モバイルフォレンジック
  • クラウドフォレンジック
  • ネットワークフォレンジック
  • メモリフォレンジック

手法ごとの種類

  • 標準的手法(ディープ/スタティック/デッドボックス)
  • ライブフォレンジック
  • ファストフォレンジック
  • リモートフォレンジック
上記は一例です。この他にも色々な種類があるのですが、全てを挙げるときりがないので当ページでは割愛します。
なお、フォレンジック方法ごとの特徴や費用感などを下のリンク先でご案内しております。
→ まるわかり解説③『デジタルフォレンジックの種類と費用』

なぜこのように沢山のフォレンジック方法があるのかというと、依頼者ごと/案件ごとに適切なフォレンジックは異なるからです。 機器の種類/部品の種類は様々で、その使い方や使用環境も様々です。さらに、事故や犯罪が起こった背景・事情も様々ですし、依頼者の目的(どのような解決を望むか)も様々です。様々な案件に対応できるよう色々なフォレンジック方法がある、というわけです。

どのような時に、どのようなフォレンジックが適切かについて、次項で説明します。

フォレンジック方法の選び方

適切なフォレンジック方法は
案件ごとに異なります
【状況】裁判の可能性があるので、スピードよりも慎重さを重視したい。
【推奨】スタティック(静的)な標準手法で深く調べると良いです。
【状況】端末を停止させられない。調査のために預けられない。
【推奨】現地出張またはリモートで調査できる方法もあります。
【状況】関係各所への報告期限まで時間的な猶予がない。
【推奨】ファストフォレンジックがおすすめです。
【状況】端末台数が多く、全台調査は予算的に無理。
【推奨】サーバなど集約箇所に対する調査だとコスパが良いです。
【状況】LAN/VPNに潜伏する異常なノードを洗い出したい。
【推奨】ネットワークフォレンジックなどシステム環境に対する調査が良いです。
【状況】サイバー攻撃なのか、ただの不具合なのか、判断できない。
【推奨】費用が低い簡易的な調査がおすすめです。

フォレンジック調査は、どの案件でも画一的に同じ方法を用いるのではなく、事案に合わせて適切な方法を選択する必要があります。しかも選択する方法は一つだけとは限りません。現代ではシステムやセキュリティが複雑化しているため、一つの案件に対して1種類のフォレンジック方法だけでは対応できないケースがかなり増え、複数のフォレンジック方法を順番に実施する、または組み合わせて「クロスオーバー」させるということが多くなりました。そして順番はどうするべきか、何と何をクロスオーバーさせるか、出鱈目の当てずっぽうでやると調査の進行が破綻してしまうので、事前に調査計画を立てるのに相当な知識と経験が必要になっています。

①対象物の特性、 ②使用環境の特性、 ③事案の背景・状況、 ④依頼者の目的や事情、これらのような事案ごと個別の性質に合わせてフォレンジック方法を選択しないと、無理、無駄、不足などが生じる恐れがあり、最悪は調査不能になるリスクもあります。そうならないようフォレンジック調査会社では、常に新しい技術を学習・研究し続けてフォレンジック方法の幅を広げつつ、それを実行する機材や人材を確保・維持し、様々な事案に対応できる体制を保ち続けています。

フォレンジック調査会社の選び方

フォレンジック調査会社の選び方は、一つ前で述べた「フォレンジック方法の選び方」と似ていて、状況や目的に合わせて調査会社を選択することとなります。

調査会社の選び方の例
【状況】あまり大ごとにしたくない。費用もそんなにかけたくない。
【推奨】フォレンジック費用の相場は60万円~120万円と高額ですが、その半額以下の廉価版サービスを用意している調査会社も幾つかあります。(当社もご用意しております)
【状況】裁判に向けた証拠収集だけでなく、訴訟中のサポートも頼みたい。
【推奨】弁護士から紹介を受けるのが一番良いです。それが叶わない場合は、私のように弁護士の補助や法廷対応も可能な技術者が在籍する調査会社をご選択下さい。
【状況】かなり急いでいます。お怒りの関係者から急かされていて…
【推奨】ファストフォレンジックが最適ですので、それができる調査会社に限定してお探し下さい。ちなみに当社では最短即日報告の調査サービスもご用意しております。
【状況】業者選びで失敗したくない。
【推奨】無資格の非専門業者を避けるべきです。フォレンジックの資格を持つ技術者が対応する調査会社をお勧めします。

※重要な注意点※
ログ(履歴)は時間経過で徐々に消えていきます。

コンピュータのログ(履歴データ)は、新しい日時の記録が書き込まれる時に、一番古い日時の記録が消える、という仕組みになっています。『自分にピッタリの調査会社を見つけたい』と探しまわるのは良いのですが、そうしている間にもじわじわとログが消えていくのです。

ログ消失を防ぐため、理想を言えば即刻に証拠保全すべきなのですが・・・
納得いくまで調査会社を探し続けるべきか、即座に調査をスタートさせるべきか、非常に悩ましいことだと思います。

フォレンジック調査費用の相場

  1. 【標準】通常のフォレンジック調査:
    60万円~120万円
  2. 【簡易】調査項目を絞り込める場合:
    20万円~40万円
  3. 【高難易度】大規模調査などの場合:
    数百万円
このようにピンキリです。調査の内容によってかなり幅があります。
どのフォレンジック会社でもだいたい上記1番の価格帯が基準になっているようですが、依頼者側の初動調査によって状況がある程度分かっているときなど、調査する項目を絞り込める(作業工数を減らせる)場合は上記2番の価格帯で提供できることもよくあります。

高難易度のケース、例えば特殊な作業を要する場合や、端末台数がかなり多い場合、複数の拠点(本社と支店など)を同時に調査する場合などは、調査費用が高額になります。

ちなみに当社は中小企業や個人を主なターゲット層としておりますので、相場より低めの料金設定のサービスをご用意しております。

  • マルウェア調査:11万円~
  • Windowsパソコンのファストフォレンジック:22万円~

フォレンジック調査の期間・納期

  • 標準的な調査期間:2~3週間
  • 早いプランの場合:即日~1週間
当然のことながら調査内容によって期間は異なりますが、どの調査会社もおおむね上記の調査期間を目安にしているようです。

ちなみに当社のファストフォレンジック「Dr.セキュリティ - FFS」では、最短即日報告を可能にしております。(詳しくは下のリンク先でご案内)

ファストフォレンジック「Dr.セキュリティ - FFS」

フォレンジック調査の流れ

  1. データ収集・証拠保全
  2. 検査
  3. 分析・解析
  4. 報告
通常は上記の順番で進めることとなります。
例外的に当社では、依頼者から「証拠保全だけお願いしたい」と求められた場合や、「データを提供するので検査と解析だけお願いしたい」と求められた場合にはそうすることも時々ありますが、基本的には全部合わせて一つのサービスとして提供しております。
次に各項目の内容に関して説明します。

フォレンジック証拠保全風景

1.データ収集・証拠保全

第一に、調査対象の物から調査に必要なデータを収集し、第二に、そのデータを証拠保全します。上の画像はパソコンに対する作業の見本写真です。見本ではわかりやすく専用ハードウェアを使用していますが、ソフトウェアでおこなうこともよくあります。ハード/ソフトのどちらが良いかはケース・バイ・ケースです。

フォレンジック検査

2.検査

収集したデータに破損や不具合がないか確認した後、インシデントに関連し得る異常な点・不審点などを探します。
例1:マルウェア(ウイルス)の事案の場合は、不審なファイルや設定などを探します。
例2:不正アクセス事案の場合は、不審なエラーやログイン履歴を探します。

フォレンジック解析

3.分析・解析

検査で発見された異常・不審な点に関して調査を進め、インシデントの一連の経緯や結果を明らかにしていきます。
ここでは「分析」・「解析」と2つの言葉を書きましたが、実際には便宜のため「解析」とだけ言うこと/書くことが多いです。分析と解析の違いについては、ほとんどの人にとって「どうでもいいこと」だと思いますので、ここでは割愛します。(機会があればどこかで説明したいと思います。)

調査報告書

4.報告

当社では下記2つをもって報告としております。
1,報告書の提出(一部のサービスは口頭報告)
2,証拠保全媒体の提出(HDD、USBメモリ、CD-R)

他社では2番の証拠保全媒体を省略またはオプションとしている調査会社もあるようですが、当社では下記2つの理由から原則提出と定めております。
【理由1】後から再検証できるようにし、調査の透明性を高めるため
【理由2】ずさんな調査、でたらめな報告など、いわゆる手抜きを防ぐため
平たく言うと、胸を張って「ちゃんと調べました」と示せるよう、証拠保全媒体を原則提出としております。

フォレンジック・エンジニアとは

フォレンジック調査をおこなう人のことをフォレンジックエンジニアと言います。
ただしフォレンジックエンジニアという用語は、けっこう曖昧な言葉です。具体的な内容は定められてなく、ぼんやりと広い範囲で、フォレンジックに関係する技術者のことをまとめてフォレンジックエンジニアと言われています。
SE(システムエンジニア)という用語に似ています。ITシステムに関係する人のことをまとめてSEと言いませんか? それと同様です。

実務においては少し解像度を上げて、下記のように分類されることもあります。

1,フォレンジック・マネージャー(管理者・監督者)

調査案件を統括し、調査計画や進行管理などをおこなう人。

2,フォレンジック調査員

データ収集や証拠保全など、調査作業全般をおこなう人。

3,フォレンジック・アナリスト

データの分析・解析に特化した人。

説明のために上記3つに分類しましたが、実際には明確に分かれていないことも多いです。一人のフォレンジックエンジニアが1から3まで全部やる事が多いですし、複数名のチームで調査する場合でも、全員が並列で調査業務に当たることも多いです。

フォレンジック調査に関わる人

フォレンジック調査に関わる人はフォレンジックエンジニアだけとは限らず、他の分野の専門家が調査に加わることもしばしばあります。例えば調査の途中で次のようなことが分かった場合、それぞれの適任者を頼ることがあります。

  • 調査範囲の中に重度の物理障害などの難点が見つかった場合、修理やデータ復旧のスペシャリストを頼る。
  • 汎用製品ではない独自設計のシステムなど、プロプライエタリ(独占的かつ非公開)な形式のデータの調査を要する場合、その開発元やベンダーに協力を求める。
  • ダークウェブへの流出可能性が見つかった場合、ダークウェブ調査のスペシャリストを頼る。
さらに当社の場合は法的措置に関連する案件が寄せられることも多いため、弁護士を頼ることが度々あります。

デジタルフォレンジック入門

このページはデジタルフォレンジックを「学んでみたい」と思った人にも読まれそうな気がしましたので、入門の前に知っておいたほうが良いことを書きます。

デジタルフォレンジックは幅広い知識・技術が必要な分野です。
下の図を見て下さい。

デジタルフォレンジックの位置づけの図

この図が示すように、デジタルフォレンジックはITおよびセキュリティの基礎の上に乗るものですので、それらの前提知識が無いとデジタルフォレンジックを学ぶのは無理があります。実際、デジタルフォレンジックの講座やトレーニングサービスでは、前提知識ゼロの人が申し込むのを防ぐために、何かしら受講要件を定めていることがほとんどです。

そのため入門の前に前提知識(ITとセキュリティの基礎知識)を身につけておく必要があります。下記6つの項目をご覧ください。

  1. PCハードウェアの基礎知識
  2. Linuxに関する基礎知識
  3. プログラミングスキル
  4. ネットワークやインフラの基礎知識
  5. サーバやシステムの基礎知識
  6. マルウェアやサイバー攻撃の基礎知識
それぞれ基礎レベルで大丈夫です。深い知識や開発力が無くても、基礎だけ理解していればフォレンジックの入門的な話にはついていけます。
もし1~6のいずれかが欠けている場合は、その分野の入門書で学習してください。
既にIT系のエンジニアとして働いている人ならば、そんなに難しくないはずです。

もし全項目知識ゼロというPCビギナーの人は、次に記す流れで学習すると一通り身につくはずです。

  1. パソコンを自作する → PCハードウェアの基礎知識が身につく
  2. LinuxとWebサーバをインストールする → Linuxとサーバの基礎知識が身につく
  3. Webに公開する → ネットワークやインフラの基礎知識が身につく
  4. Webアプリケーション作る → プログラミングとシステムの基礎知識が身につく
  5. サイバーセキュリティの講座を受講する(入門編/初級編などで十分です)
  6. Webアプリケーションを自分で攻撃する → サイバー攻撃の雰囲気が分かる
これでデジタルフォレンジックの入門に必要な前提知識がだいたい揃います。

デジタルフォレンジックの学び方

正直に言いますと、私はフォレンジックの「定番の勉強法」を知りません。
私の場合、スキマ時間に少しずつ長い年月をかけて独学したため、教育機関で体系的に学んだ経験が無いので勉強法を知らないのです。

セキュリティ業界では「SANSで学んだ」という方が多いので、もしかしたらそれが定番なのかなぁと思っております。
【SANS-JAPAN】 https://www.sans-japan.jp/

SANSの他にも、サイバーセキュリティの会社によるトレーニングサービスがありますし、学校や教育サービス企業などによる講座もあります。ITの基礎を一通り習得しているならば、いくつかの講座やトレーニングを受けるだけでもフォレンジックの基礎が身につくはずです。

デジタルフォレンジックの資格

日本で有名なのは、NPOデジタルフォレンジック研究会が提供する「CDFP」です。
CDFPには下記3種類の資格があります。

  1. CDFP-B(基礎資格)
  2. CDFP-P(実務者資格)
  3. CDFP-M(管理者資格)
CDFPは日本語で受験できますので、超おすすめです。
資格の内容に関して、1番のCDFP-B(基礎資格)は比較的かんたんな内容になっていて、教本や解説講座ビデオもありますので多くの方が合格できるはずです。

2番のCDFP-P(実務者資格)は実践的な知識や技術に関する内容になっていて、しかも教本等は無く、なかなかレベルが高いです。フォレンジックの経験がそれなりにあれば合格できると思いますが、そうでない人にとっては難しいです。まさしく実務者向けの資格です。

3番のCDFP-M(管理者資格)に関しては、この記事を書いている2024年2月の時点でまだ試験が実施されていないため、内容等はわかりません。

海外の資格に目を向けますと、世界的に最も有名なのは米国のSANS(サイバーセキュリティ教育の企業)が提供する「GIAC」です。フォレンジック関連の資格では「GCFA」や「GCFE」など色々あるようです。ほか、周囲のエンジニアを見ると「CHFI」というEC-Council(米国企業)が主催する資格を取得されている方も多いです。私は英語力が無いためそれらを受験したことがないので内容はわかりませんが、それらのフォレンジック資格を持っている方は優秀な人ばかりですので、とても良い資格なのだろうなぁと感じています。

フォレンジックツール

フォレンジック調査をおこなうためには「フォレンジックツール」が必要です。その種類は様々ですが、大別すると「データ収集」と「解析」の2つに分かれます。

データ収集ツール

調査対象の機器からデータを収集するツールです。ハードウェア型とソフトウェア型のツールがあります。

ハードウェア型の例
  • ストレージ複写ツール
  • データリカバリーツール
  • パケットキャプチャツール

ソフトウェア型の例
  • ディスクイメージャーツール
  • メモリーダンプツール
  • ログ収集ツール

解析用ツール

データを分析・解析するためのツールです。誰でも無料で入手できるフリーソフトもあれば、個人では入手できない業務用ツールもあります。

フリーソフトの例
  • ログ解析ツール
  • メモリ解析ツール
  • パケット解析ツール

業務用ツールの例
  • 統合型アプリケーション
  • クラウド型システム
  • A.I.による自動解析システム

フリーソフトだけでもフォレンジック調査がまったく不可能というわけではないのですが、しかし業務用ツールを使ったほうが断然に作業効率も調査精度も良いです。例えば何台ものPCを調査するとき、業務用ツールなら自動処理により手間を大幅に減らせますが、無料ツールだと1台ずつちまちま手作業することになります。そのため、学習や研究用途では無料のフォレンジックツールが用いられることも多いですが、実際の案件対応ではスピードや正確さのために業務用ツールを用いることがほとんどです。

フォレンジックツールの開発

当社はフォレンジック調査サービスを提供するだけでなく、自社でフォレンジックツールの開発もおこない、調査費用の低価格化およびコストパフォーマンスの向上へと繋げております。

そして独自開発したツール群を用いて「最短即日報告」&「調査費用50%以上削減」のファストフォレンジックのサービスを提供しております。
詳しくは下記リンク先のサービス案内をご覧ください。

ファストフォレンジック「Dr.セキュリティ - FFS」

こちらも読まれています