インシデント対応における「フォレンジック調査」の種類と証拠保全

背景と概要

サイバー攻撃や内部不正による情報漏えいが発生した際、被害の拡大を防ぐ初動対応と並行して不可欠となるのが、事故の原因、侵入経路、被害範囲、影響を受けたデータの特定を行う「デジタル・フォレンジック（Digital Forensics）」調査です。

不適切な初期対応（例: 安易にPCの電源を切る、再起動する、ウイルススキャンをかける等）を行うと、メモリ上の重要な証拠データが消去され、後に法的証拠やログ分析による原因特定が不可能な状態に陥ることがあります。正しい「証拠保全」の知識と調査手法の理解が求められます。

主なフォレンジック調査の分類

調査対象や目的に応じて、以下の異なる手法が使い分けられます。

1. ファスト・フォレンジック（Triage Forensics）

インシデント発生直後の初期対応として、主要なログ（イベントログ、Registry、Prefetch、EDRデータ等）のみを迅速に収集・解析する手法です。数時間〜数日以内で「侵入の有無」や「被害の概況」を把握し、早期の意思決定を支援します。

2. ディスク・フォレンジック（Dead Forensics）

調査対象のストレージ（HDDやSSD）のビットバイビット・イメージ（完全な複製）を作成し、削除されたファイルの復元や、未割り当て領域の解析を行う詳細調査です。時間がかかるものの、裁判や法的報告に耐えうる厳密な証拠を提示できます。

3. メモリ・フォレンジック（Volatile Forensics）

物理メモリ（RAM）上に一時的に保持されているデータを抽出・解析します。ファイルを作成せずメモリ上でのみ動作するマルウェア（ファイルレス攻撃）や、暗号化通信の復号化キー、実行中のプロセス状態を把握するのに不可欠です。

証拠保全における「証拠保全性（Chain of Custody）」の重要性

フォレンジックで得られた結果を、裁判、規制機関（個人情報保護委員会等）、あるいは保険会社への提出書類として法的効力を持たせるには、「収集した証拠データが第三者によって改ざんされていないこと」を提示する一連の手順（Chain of Custody）が必要です。

インシデント発生時に現場が守るべき初動ルール

専門家に調査を引き継ぐまでの「証拠を壊さないためのアクション」が重要です。

1. 不適切な電源オフ・再起動の禁止

メモリ（RAM）上の貴重な証拠（揮発性データ）を消去してしまうため、安易に端末の電源を切ったり再起動したりせず、ネットワークケーブルの抜去やWi-Fiの無効化（物理隔離）にとどめます。

2. ネットワークログ・認証ログの長期間保管

端末側のデータだけでなく、プロキシサーバー、VPN機器、DHCP、IdP（認証）などのネットワークログが上書き消去されないよう、ログ保管期間（最低6ヶ月〜1年推奨）を確保・隔離保存しておきます。