デジタルフォレンジックスとは？

デジタルフォレンジックスの意味

不正行為やインシデントの証拠となる電子データを、法的な証拠能力を保ったまま保全・収集・分析し、報告する一連の技術と手続。原本を書き換えないための書込み防止装置とハッシュ値による同一性の証明、証拠の受渡しの記録（証拠保全の連鎖：Chain of Custody）が要点。

デジタルフォレンジックスの具体例

収集は揮発性の高いものから順に行う（レジスタ・キャッシュ→メモリ→ネットワーク接続状態→一時ファイル→ディスク→リモートログ→バックアップ）。

デジタルフォレンジックスは試験でどう引っ掛けられる？

感染端末を即座に電源断すると、メモリ上にしかない情報（ファイルレスマルウェア、復号鍵、通信状態）が失われる。ネットワークからの切離しと電源保持の判断が問われる。

デジタルフォレンジックスと関連する用語

• インシデント対応
• タイムスタンプ

デジタルフォレンジックスが出た過去問

• ディジタルフォレンジックスに該当するものはどれか。

  正解：犯罪に関する証拠となり得るデータを保全し，その後の訴訟などに備える。

  要点：証拠データを保全し訴訟に備えるのがフォレンジックス

  ディジタルフォレンジックスは、不正やインシデントの証拠となる電磁的記録を、改変されていないことを保ちながら収集・保全し、分析して訴訟や社内処分に備える活動です。証拠の完全性を示すため、取得手順や保管の連鎖の記録が重視されます。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問14（IPA）

• 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。まず，稼働状態にある調査対象サーバや…

  正解：d → c → a → b

  要点：証拠保全は揮発性の高いデータから順に行う

  ディジタルフォレンジックスでは、消えやすいデータから順に保全する「揮発性の順序」が原則となる。ルーティングテーブルなどメモリ上の状態は電源断や時間経過で失われるため最優先で、次にディスク上のファイル、遠隔のログサーバに残るログ、最後に書換えの起こらないCDのような媒体という順になる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問16（IPA）

• ディジタルフォレンジックスに該当するものはどれか。

  正解：犯罪に関する証拠となり得るデータを保全し、調査、分析、その後の訴訟などに備える。

  要点：フォレンジックスは証拠データを保全し分析して訴訟に備える

  ディジタルフォレンジックスは、不正やインシデントの事実を明らかにするため、機器やログに残るデータを改変しないよう保全し、時系列や因果関係を分析して、裁判などで証拠として通用する形にまとめる一連の活動である。原本の完全性を保つためのハッシュ値の記録や、証拠の受渡し経路を追跡できるようにする管理の連鎖が重視される。

  出典：令和2年度 10月 情報処理安全確保支援士試験 am2 問13（IPA）

• 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてディジタルフォレンジックスを行うことになった。このとき、稼働状態にある調査対象のサ…

  正解：d → c → a → b

  要点：証拠保全は揮発しやすいものから順に採取する

  フォレンジックスでは、失われやすいものから先に採取するという揮発性の順序が原則である。ルーティングテーブルはメモリ上の情報で電源断や状態変化で即座に失われるため最優先、次に稼働中サーバのディスク上のファイル、続いて別の機器で保全されているログサーバの記録、最後に内容が変化しない配布メディアの順となる。この原則を守らないと、後から取り返せない情報を失う。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）