デジタルフォレンジックス

デジタルフォレンジックスは、インシデントや犯罪が起きたときに、PCやサーバ、ネットワークに残された電子的な証拠を、証拠としての価値を保ちながら集めて分析する技術です。

■ 試験で押さえるポイント

• 元のデータを変えないよう、ディスクの完全な複製（イメージ）を作って分析します。

• 複製が元のデータと同じであることを、ハッシュ値で確認します。

• 誰がいつ証拠を扱ったかを記録し、証拠の管理の連続性を保ちます。

■ 過去問での着眼点

証拠の保全と、改ざんされていないことを証明できる手順が重要です。

例: 感染したPCのディスクの複製を作ってハッシュ値を記録し、複製のほうを分析します。

■ 証拠の完全性と時系列の解釈

• メモリ、通信状態、ディスク、遠隔ログは失われ方が異なる。ライブ取得は対象を変化させるため、使ったツール、取得時刻、手順、影響を記録し、危険を抑えながら優先順位を決める。

• 取得時・保管後のハッシュ一致は、その比較対象の内容が同じである根拠になる。取得前から正しい記録だったことや、ログに書かれた行為が本人の意思だったことまでは証明しない。

• タイムゾーン、時計のずれ、記録時刻と取込み時刻を区別する。ログ削除・監査無効化・保持期限を確認し、記録がないことを行為がなかった証明にしない。原本の保管と分析用コピーを分け、受渡しを記録する。