とても小さな調査会社ですが
5つの長所があります
PCのレジストリやログ等には様々なプログラムの履歴が記録され、その中にはマルウェアの痕跡も含まれます。
上の写真は、マルウェアに感染していたこと、および動作した日付時刻を示す痕跡の例です。
マルウェアが動作した日付時刻をもとに、時系列でPCの挙動を解析することで、何を盗まれたのか、どんな不正処理がおこなわれたのかを調べることができます。
上の写真は、盗まれたファイルの特定に繋がる痕跡の例です。このような痕跡がファイルの削除領域や、MFT、一次保存領域に残されるケースが多くあります。
ファイルの作成・コピー・アクセスなどの操作は、履歴(ログ)やファイル管理情報など様々な箇所で断片的に痕跡が残ります。
断片化した痕跡を紡いでいくことで、情報持ち出しの態様・方法を証明でき、かつ持ち出しされたデータを特定できます。
外部送信痕跡は、送信に用いたアプリやシステムの履歴に残ります。写真の例は、よくある「Webブラウザ」を用いられたケースにおける調査画面です。
PCやネットワークシステムに残された履歴をもとに調査を進めることで、写真の例のように、外部送信の手口や日時を知ることができます。
ファイルをコピーして持ち出されるケースでは、証拠隠滅のためにコピーを削除されることがよくありますが、PCの中を深く調べれば削除痕跡を見つけられます。
削除済みファイルをデータ復旧できることもあります。もしデータ復旧できなかったとしても、「過去にどのようなファイルが存在していたか」が分かれば持ち出されたファイルを特定することができます。
USBデバイスにファイルをコピーして持ち出されるケースは多いです。以前はUSBメモリや外付けHDDを用いられることが多かったのですが、現代ではスマホをUSB接続してコピーされることもよくあります。
PCには「どのようなデバイスが接続されたか」という記録が残ります。ここではUSBの例を説明しましたが、それ以外にWi-FiやBluetoothが悪用されるケースもあり、その場合でもUSBと同様に調査することは可能です。
技術責任者 | 冨田 圭介 DFプロフェッショナル認定資格保有 ① 基礎資格(CDFP-B) ② 実務者資格(CDFP-P) 特定非営利活動法人デジタル・フォレンジック研究会 正会員 研究所「Dr.セキュリティ®」所長 |
会社名 | 株式会社Dr.セキュリティ® |
所在地 | 東京都台東区台東1-24-2 ISM秋葉原 7階 |
アクセス | JR秋葉原駅 昭和通り改札口から徒歩10分 ※ご来社には予約が必要です(予約のない訪問は警備の観点から固くお断りします) |