証拠収集・分析
この領域で問われること
インシデントや不正の調査で、法的に説明できる証拠を収集・保全・分析する手法を問う領域である。フォレンジックの基本手順と、証拠の完全性を保つ方法が中心になる。
証拠保全の原則
- 原本を変更しない。ディスクはライトブロッカーを介してイメージを作成し、ハッシュ値（SHA-256など）で同一性を証明する。
- 取得日時、取得者、手順、保管場所を記録し、受渡しの履歴を残す（チェーン・オブ・カストディ）。
- 揮発性の高い情報から順に集める。メモリ、ネットワーク接続、プロセス、ログ、ディスクの順である。電源を切るとメモリ上の情報は失われる。
分析
- ライブフォレンジックで稼働中の状態を記録し、その後にイメージを取得する。分析は複製を使って行う。
- ログはNTPで時刻を同期し、タイムゾーンを確認してタイムラインを作成する。FW、Proxy、認証、EDRのログを突合する。
- タイムスタンプの変更、ログの消去、暗号化などのアンチフォレンジックの痕跡も証拠として扱う。
例題で確認
不正アクセスの疑いがあるサーバでは、まず通信ログを取得してからネットワークから隔離する。次にメモリイメージを取得し、ディスクをライトブロッカー経由でイメージ化してハッシュを記録する。ログを時刻で突合して侵入経路を特定し、報告書にまとめる。原本は封印して保管する。
失点しやすい点
調査のために再起動する。ハッシュを取らずにイメージを変更する。時刻同期を無視して時系列を誤る。チェーン・オブ・カストディの記録を省略する。