ログ管理・SIEMによる証跡保全とデジタルフォレンジクス完全攻略｜証拠保全と事後分析徹底解説

インシデントの早期発見と原因究明を可能にする「ログ管理」「SIEM」「デジタルフォレンジクス」の重要ポイントを整理します。

1. ログ管理の3大要件

1. ① NTPによる正確な時刻同期: 全サーバ・ネットワーク機器でNTP（Network Time Protocol）を用いて時刻をミリ秒単位で同期させ、タイムラインの正確な突き合わせを可能にする。
2. ② ログの改ざん防止と安全な保管: 端末内のローカルログは攻撃者に消去される可能性があるため、WORM機能（追記のみ可能）を備えた専用のログサーバへリアルタイム転送する。
3. ③ 適切な保管期間の設定: 潜伏期間（半年〜1年以上）を考慮し、法令やポリシーに応じた十分な長期保管を行う。

2. デジタルフォレンジクスの証拠保全原則（RFC 3227）

感染疑いのあるPCを調査する際は、「揮発性の高い順（消えやすい順）」にデータを保全する必要があります。

• 揮発性順位: レジスタ/キャッシュ ＞ メモリ（RAM） ＞ ネットワーク接続状態 ＞ ディスク（HDD/SSD） ＞ バックアップメディア
• 電源を切らない原則: 安易に電源を切るとRAM上のマルウェアの痕跡や暗号化鍵が消失するため、LANケーブルを抜線（通信遮断）した上でメモリダンプを取得する。