コンピューターフォレンジック

コンピュータフォレンジック（コンピュータフォレンジックサイエンスとも呼ばれる）^[1]は、コンピュータやデジタルストレージメディアで見つかった証拠に関連するデジタルフォレンジックサイエンスの分野です。コンピュータフォレンジックの目的は、デジタル情報に関する事実と意見を識別、保存、回復、分析、提示することを目的として、法医学的に適切な方法でデジタルメディアを調査することです。

コンピュータフォレンジックは、さまざまなコンピュータ犯罪の捜査と関連付けられることが最も多いですが、民事訴訟にも使用されることがあります。この分野には、データ復旧と同様の技術と原則が含まれますが、法的監査証跡を作成するための追加のガイドラインと実践が含まれます。

コンピューターフォレンジック調査による証拠は、通常、他のデジタル証拠と同じガイドラインと慣行に従います。これは、多くの注目度の高い事件で使用され、米国およびヨーロッパの裁判制度では信頼できるものとして認められています。

概要

1980年代初頭、パーソナルコンピュータが消費者にとってよりアクセスしやすくなり、犯罪行為（例えば、詐欺を助長する）での使用が増加しました。同時に、いくつかの新しい「コンピュータ犯罪」（クラッキングなど）が認識されました。法廷で使用するためにデジタル証拠を回復して調査する方法として、この時期にコンピュータフォレンジックの分野が登場しました。それ以来、コンピュータ犯罪とコンピュータ関連犯罪は増加しており、FBIは2020年に791,790件のインターネット犯罪の疑いがあると報告しており、これは2019年に報告された件数より69％増加しています。 ^[2]^{[3]今日、コンピュータフォレンジックは、}児童ポルノ、詐欺、スパイ活動、サイバーストーカー、殺人、レイプなど、さまざまな犯罪の捜査に使用されています。この分野は、情報収集の一形態（電子証拠開示など）として民事訴訟にも登場しています。

法医学的手法と専門知識は、コンピュータシステム、記憶媒体（ハードディスクやCD-ROMなど）、電子文書（電子メールメッセージやJPEG画像など）などのデジタルアーティファクトの現在の状態を説明するために使用されます。 ^[4]法医学的分析の範囲は、単純な情報検索から一連のイベントの再構築まで多岐にわたります。2002年の著書「Computer Forensics」で、著者のKruseとHeiserは、コンピュータフォレンジックを「コンピュータデータの保存、識別、抽出、文書化、解釈」を含むものと定義しています。^[5]彼らはこの分野を「科学というよりも芸術」と表現し、法医学的方法論が柔軟性と広範なドメイン知識に支えられていることを示しています。ただし、特定のコンピュータから証拠を抽出するために使用できる方法はいくつかありますが、法執行機関が使用する戦略はかなり硬直しており、民間の世界に見られる柔軟性に欠けています。^[6]

サイバーセキュリティ

コンピュータフォレンジックはサイバーセキュリティと混同されることが多い。サイバーセキュリティは予防と保護に重点を置いているのに対し、コンピュータフォレンジックは追跡や暴露などの活動を伴う、より反応的で能動的なものである。システムセキュリティは通常、サイバーセキュリティとコンピュータフォレンジックの2つのチームで構成され、連携して作業する。サイバーセキュリティチームはデータ保護のためのシステムとプログラムを作成し、これらが失敗した場合はコンピュータフォレンジックチームがデータを回復し、侵入と盗難を調査します。どちらの分野もコンピュータサイエンスの知識を必要とする。^[7]

コンピュータ関連犯罪

コンピュータフォレンジックは、物理的犯罪やデジタル犯罪に関与した者を有罪にするために使われます。これらのコンピュータ関連犯罪には、妨害、傍受、著作権侵害、捏造などがあります。妨害は、コンピュータ部品やデジタルファイルの破壊や盗難に関係します。傍受は、技術デバイスに保存されているファイルや情報への不正アクセスです。^[8] 著作権侵害とは、著作権で保護された情報を使用、複製、配布することを指し、ソフトウェアの著作権侵害も含まれます。捏造とは、不正なソースからシステムに挿入された偽のデータや情報を使用していると誰かを非難することです。傍受の例としては、Bank NSP 事件、Sony.Sambandh.com 事件、ビジネスメール詐欺などがあります。^[9]

証拠として使う

法廷では、コンピュータフォレンジック証拠は、デジタル証拠の通常の要件に従う。これは、情報が真正であり、確実に取得され、許容される必要があることを要求する。^[10]証拠回収については、国によって具体的なガイドラインや慣行が異なる。英国では、鑑定官は、証拠の真正性と完全性を保証するのに役立つ警察長官協会のガイドラインに従うことが多い。このガイドラインは任意ではあるが、英国の裁判所では広く受け入れられている。

コンピュータフォレンジックは1980年代半ばから刑事法の証拠として使われてきました。注目すべき例としては次のようなものがあります: ^[11]

BTKキラー：デニス・レーダーは16年間にわたる連続殺人で有罪判決を受けた。この期間の終わりごろ、レーダーはフロッピーディスクで警察に手紙を送っていた。^{[12]文書内の} メタデータは「キリスト・ルーテル教会」の「デニス」という著者が関与していることを示唆し、レーダーの逮捕につながった。^[13]
ジョセフ・エドワード・ダンカン：ダンカンのコンピュータから回収されたスプレッドシートには、彼が犯罪を計画していたことを示す証拠が含まれていた。検察はこれを利用して計画性を証明し、死刑を確定させた。^[14]
シャロン・ロパトカ：ロパトカのコンピューターに保存されていた数百通の電子メールが捜査官を殺害犯ロバート・グラスへと導いた。^[11]
コーコラン・グループ：この事件では、訴訟が開始されたか、または合理的に予測された時点で、当事者がデジタル証拠を保存する義務があったことをコンピュータフォレンジックが確認した。ハードドライブが分析されたが、専門家は削除の証拠を見つけられず、被告が意図的に電子メールを破棄したことを示す証拠があった。^[11]
コンラッド・マーレー医師:マイケル・ジャクソンの主治医であるコンラッド・マーレー医師は、致死量のプロポフォールを示す医療文書を含むデジタル証拠により部分的に有罪判決を受けた。

法医学的プロセス

コンピュータフォレンジック調査は、通常、取得、検査、分析、レポートの 4 つのフェーズで構成される標準的なデジタルフォレンジックプロセスに従います。調査は通常、「ライブ」システムではなく静的データ (つまり、取得された画像) に対して実行されます。これは、専門ツールが不足していたために調査員がライブデータで作業する必要があった初期のフォレンジック手法とは異なります。

コンピューターフォレンジックラボ

コンピュータフォレンジックラボは、電子データを管理された条件下で保存、管理、アクセスし、証拠の損傷や改ざんのリスクを最小限に抑えることができる安全な環境です。フォレンジック調査員には、調査対象のデバイスから意味のあるデータを抽出するために必要なリソースが提供されます。^[15]

テクニック

コンピューターフォレンジック調査では、次のようなさまざまな手法が使用されます。

クロスドライブ分析: この技術は複数のハードドライブにある情報を相関させ、ソーシャルネットワークを識別したり異常を検出したりするために使用できます。^[16]^[17]

ライブ分析: フォレンジックツールや既存のシステム管理ツールを使用して、オペレーティングシステム内からコンピュータを検査し、証拠を抽出します。この手法は、暗号化キーを取得できる暗号化ファイルシステムを扱う場合や、コンピュータをシャットダウンする前に論理ハードドライブボリュームをイメージングする場合（ライブ取得）に特に役立ちます。ライブ分析は、物理的にアクセスできないネットワークシステムやクラウドベースのデバイスを検査する場合にも役立ちます。^[18]

削除されたファイル: 一般的な法医学的手法には、削除されたファイルの回復が含まれます。ほとんどのオペレーティングシステムとファイルシステムは物理ファイルデータを消去しないため、調査員は物理ディスクセクターからデータを再構築できます。法医学ソフトウェアは、既知のファイルヘッダーを検索し、削除されたデータを再構築することで、ファイルを「切り分ける」ことができます。

確率論的フォレンジック: この方法は、システムの確率的特性を利用して、従来のデジタル成果物なしで活動を調査します。これは、データ盗難の場合によく役立ちます。

ステガノグラフィー: ステガノグラフィーでは、画像内に違法コンテンツを隠すなど、別のファイル内にデータを隠すことが行われます。隠されたデータはファイルのハッシュ値を変更するため、法医学調査員はファイルハッシュを比較してステガノグラフィーを検出します。

モバイルデバイスのフォレンジック

電話ログ: 電話会社は通常、受信した通話の記録を保持しており、これはタイムラインの作成や犯罪発生時の容疑者の居場所の特定に役立ちます。^[19]

連絡先: 連絡先リストは、被害者とのつながりに基づいて容疑者を絞り込むのに役立ちます。^[19]

テキストメッセージ: テキストメッセージにはタイムスタンプが含まれており、デバイスから削除されたとしても、多くの場合は無期限に会社のサーバーに残ります。これらの記録は、個人間の通信を再構築するための貴重な証拠です。^[19]

写真: 写真は、撮影場所と時間を示すことでアリバイを裏付けたり反証したりする重要な証拠となる可能性がある。^[19]

音声録音: 被害者の中には、犯人の声などの詳細を記録した重要な瞬間を録画している者もおり、それが重要な証拠となる可能性がある。^[19]

不安定なデータ

揮発性データはメモリ内または転送中に保存され、コンピュータの電源を切ると失われます。揮発性データはレジストリ、キャッシュ、RAM などの場所に保存されます。揮発性データの調査は「ライブフォレンジック」と呼ばれます。

証拠を押収する際、マシンがまだ動作中の場合、システムをシャットダウンする前に回復しないと、RAMのみに保存されている揮発性データが失われる可能性があります。マシンを削除する前に、「ライブ分析」を使用して RAM データを回復できます (例: Microsoft のCOFEEツール、WinDD、WindowsSCOPEを使用)。CaptureGUARD Gateway などのツールを使用すると、ロックされたコンピュータから物理メモリを取得できます。^{[引用が必要]}

RAM データは、メモリセル内の電荷がゆっくりと消散するため、電源が失われた後でも回復できる場合があります。コールドブート攻撃などの手法では、この特性を利用します。温度が低く電圧が高いほど回復の可能性が高くなりますが、現場調査でこれらの手法を実装することは現実的ではないことがよくあります。

揮発性データを抽出するツールでは、多くの場合、証拠の連鎖を維持するためにコンピュータを法医学研究所に置く必要があります。場合によっては、スリープモードを防ぐマウスジグラーや、電源を維持するための無停電電源装置(UPS) などのツールを使用して、ライブデスクトップを移動できることもあります。

NTFSやReiserFSなどのジャーナリング機能を備えたファイルシステムのページファイルを再構成して、システム動作中に保存された RAM データを回復することもできます。

分析ツール

コンピュータフォレンジックには、オープンソースおよび商用のツールが多数存在します。一般的なフォレンジック分析には、メディアの手動レビュー、Windows レジストリ分析、パスワードクラッキング、キーワード検索、電子メールと画像の抽出などがあります。Autopsy (ソフトウェア)、Belkasoft Evidence Center、Forensic Toolkit (FTK)、EnCaseなどのツールは、デジタルフォレンジックで広く使用されています。

専門教育とキャリア

デジタルフォレンジックアナリスト

デジタルフォレンジックアナリストは、デジタル証拠の保存、収集した証拠のカタログ化、進行中の事件に関連する証拠の分析、サイバー侵害への対応（多くの場合、企業関連）、調査結果を含むレポートの作成、法廷での証言を担当します。^[20]デジタルフォレンジックアナリストは、コンピューターフォレンジックアナリスト、デジタルフォレンジック検査官、サイバーフォレンジックアナリスト、フォレンジック技術者、または同様の名前のタイトルで呼ばれることもありますが、これらの役割は同様の職務を遂行します。^[21]

認定資格

コンピュータフォレンジックの認定資格には、ISFCE認定コンピュータ検査官、デジタルフォレンジック調査専門家（DFIP）、IACRB認定コンピュータフォレンジック検査官など、いくつかあります。特にEU内では、ベンダーに依存しないトップの認定資格は、認定サイバーフォレンジック専門家（CCFP）です。^[22]^[23]

多くの商用フォレンジックソフトウェア企業も独自の認証を提供しています。^[24]

参照

参考文献

^ Michael G. Noblett、Mark M. Pollitt、Lawrence A. Presley (2000 年 10 月)。「コンピューターフォレンジック証拠の回復と調査」。2010年7 月 26 日閲覧。
^ 「2020年インターネット犯罪報告書」（PDF ）。IC3.gov 。
^ 「IC3が2020年インターネット犯罪報告書を発表」連邦捜査局。
^ Yasinsac, A.; Erbacher, RF; Marks, DG; Pollitt, MM; Sommer , PM (2003 年 7 月)。「コンピュータフォレンジック教育」IEEE セキュリティ & プライバシー。1 (4): 15–23。doi : 10.1109 /MSECP.2003.1219052。
^ Warren G. Kruse、Jay G. Heiser (2002)。『コンピュータフォレンジック：インシデント対応の基本』Addison-Wesley、392ページ。ISBN 978-0-201-70719-9. 2010年12月6日閲覧。
^ Gunsch, G (2002 年 8 月)。「デジタルフォレンジックモデルの検討」(PDF)。
^ 「コンピューターフォレンジックとは何か?」ウェスタンガバナーズ大学。
^ Kruse II, Warren G.; Heiser, Jay G. (2001).コンピュータフォレンジック: インシデント対応の基本. ピアソンエデュケーション. ISBN 978-0-672-33408-5。
^ Sabry, Fouad (2022).デジタルフォレンジック:デジタルフォレンジックが犯罪現場の捜査を現実世界にもたらす方法。One Billion Knowledgeable。ISBN 978-1-792-30942-6。 {{cite book}}:チェック|isbn=値: チェックサム (ヘルプ)
^ Adams, R. (2012). 「「高度なデータ取得モデル (ADAM): デジタルフォレンジック実践のためのプロセスモデル」」
^ abc Casey, Eoghan (2004). デジタル証拠とコンピュータ犯罪、第2版。エルゼビア。ISBN 978-0-12-163104-8。
^ 「連続殺人犯デニス・レーダー（BTK）の逮捕」Psychology Today。
^ ドゥーリー、ショーン。「BTK連続殺人犯の娘：「私たちは普通の生活を送っていました...そしてすべてがひっくり返ったのです」」ABCニュース。
^ Various (2009). Eoghan Casey (ed.). デジタルフォレンジックと調査のハンドブック. Academic Press . p. 567. ISBN 978-0-12-374267-4. 2010年8月27日閲覧。
^ 「第3章：コンピューターフォレンジックの基礎 - 調査用コンピューターフォレンジック：弁護士、会計士、調査員、および経営幹部向けの実践ガイド[書籍]」。www.oreilly.com 。 2022年3月4日閲覧。
^ Garfinkel, Simson L. (2006-09-01). 「フォレンジック特徴抽出とクロスドライブ分析」. Digital Investigation . 第 6 回年次デジタルフォレンジック研究ワークショップ (DFRWS '06) の議事録. 3 : 71–81. doi : 10.1016/j.diin.2006.06.007 . ISSN 1742-2876.
^ David, Anne; Morris, Sarah; Appleby-Thomas, Gareth (2020-08-20). 「デジタルフォレンジックにおけるソーシャルネットワーク調査の2段階モデル」(PDF) . Journal of Digital Forensics, Security and Law . 15 (2). doi : 10.15394/jdfsl.2020.1667 . ISSN 1558-7223. S2CID 221692362.
^ https://espace.curtin.edu.au/bitstream/handle/20.500.11937/93974/Adams%20RB%202023%20Public.pdf?sequence=1&isAllowed=y
^ abcde ポラード、キャロル (2008)。『コンピューターフォレンジック初心者向け』。ジョン・ワイリー・アンド・サンズ社。pp. 219–230。ISBN 9780470434956。
^ 「デジタルフォレンジックアナリストとは?」EC Council 2022-12-28。2022-11-28時点のオリジナルよりアーカイブ。2022-12-28に閲覧。
^ 「CISA サイバー防衛フォレンジックアナリスト」。サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA)。2022年12月28日。2022年11月5日時点のオリジナルよりアーカイブ。 2022年12月28日閲覧。
^ 「サイバーセキュリティ認定」isc2.org . 2022年11月18日閲覧。
^ 「CCFP 給与調査」。ITJobsWatch。2017 年 1 月 19 日時点のオリジナルよりアーカイブ。2017 年 6 月 15 日閲覧。
^ 「X-PERT 認定プログラム」。X-pert.eu。2015年 11 月 26 日閲覧。

さらに読む

コンピュータフォレンジック実践ガイド、初版（ペーパーバック）デビッド・ベントン（著者）、フランク・グリンドスタッフ（著者）
Casey, Eoghan; Stellatos, Gerasimos J. (2008). 「フルディスク暗号化のデジタルフォレンジックへの影響」.オペレーティングシステムレビュー. 42 (3): 93–98. CiteSeerX 10.1.1.178.3917 . doi :10.1145/1368506.1368519. S2CID 5793873.
YiZhen Huang、YangJing Long (2008)。「二次ピクセル相関モデルに基づくデジタル写真認証への応用によるデモザイキング認識」(PDF)。IEEEコンピュータビジョンおよびパターン認識会議議事録: 1–8。2010年 6 月 17 日にオリジナル(PDF)からアーカイブ。2009年 12 月 18 日に取得。
インシデント対応とコンピューターフォレンジック、第 2 版 (ペーパーバック)、Chris Prosise (著者)、Kevin Mandia (著者)、Matt Pepe (著者) 「真実はフィクションよりも奇なり...」 (続き)
Ross, S.; Gow, A. (1999). デジタル考古学? 放置または損傷したデータリソースの救済(PDF) . ブリストル & ロンドン: 英国図書館および合同情報システム委員会. ISBN 978-1-900508-51-3。
ジョージ・M・モヘイ（2003年）。コンピュータと侵入フォレンジック。アーテックハウス。395ページ。ISBN 978-1-58053-369-0。
チャック・イーストトム(2013)。システムフォレンジック、調査、対応。ジョーンズ＆バートレット。p. 318。ISBN 978-1284031058. 2013年6月14日時点のオリジナルよりアーカイブ。2013年9月23日閲覧。

概要