デジタルフォレンジックスの証拠保全と揮発性の順序
更新日:
用語解説
証拠保全と揮発性の順序は、デジタルフォレンジックスで、時間がたったり電源を切ったりすると失われやすい情報から順に集めるという考え方です。
■ 試験で押さえるポイント
レジスタやキャッシュ、ARPのキャッシュ、実行中のプロセスやメモリなど、揮発性の高い情報を先に集めます。
ディスクや遠隔ログも保全します。遠隔ログの保持期限と被害拡大を考慮し、収集順は状況に応じて決めます。
集めた時刻、作業者、手順、ハッシュ値を記録して、証拠の管理の連続性を保ちます。
■ 過去問での着眼点
消えやすい情報の保全と被害拡大の防止を両立させ、電源や通信をどう扱うかを判断します。
例: 安全に封じ込められる状況では、メモリや通信状態を記録してからディスクを複製します。破壊が進む場合は被害抑止も考慮します。
■ 揮発性だけで収集順を固定しない
収集順は揮発性に加え、被害拡大、暗号化の進行、安全性、ログの保持期限、取得できる権限を考慮する。遠隔ログも短時間で消えることがあり、常にディスクの後でよいとは限らない。
電源断はメモリ等を失う一方、通信隔離ができず破壊が進む場合には封じ込めを優先する判断が必要になる。電源を維持する方針も無条件に適用せず、判断理由と失う証拠を記録する。
取得は変更を伴い得るため、時刻、作業者、ツール、ハッシュ、保管先を記録する。後の分析では取得により生じた通信・プロセスと、侵害の痕跡を分ける。