コンピュータフォレンジック

コンピュータフォレンジックは、サイバーセキュリティと混同されることが多い。サイバーセキュリティは予防と保護に重点を置いているのに対し、コンピュータフォレンジックは追跡や暴露などの活動を含む、より事後対応的で能動的なものである。システムセキュリティは通常、サイバーセキュリティとコンピュータフォレンジックの2つのチームで構成され、両チームが連携して作業する。サイバーセキュリティチームはデータを保護するためのシステムとプログラムを作成する。これらが失敗した場合、コンピュータフォレンジックチームがデータを復旧し、侵入と盗難を調査する。どちらの分野もコンピュータサイエンスの知識を必要とする。^{[ 7 ]}

コンピュータフォレンジックは、物理的犯罪とデジタル犯罪に関与した者を起訴するために使用されます。これらのコンピュータ関連犯罪には、妨害、傍受、著作権侵害、および捏造が含まれます。妨害とは、コンピュータ部品やデジタルファイルの破壊と盗難に関係します。傍受とは、技術デバイスに保存されているファイルや情報への不正アクセスです。^{[ 8 ]}著作権侵害とは、ソフトウェアの海賊行為を含め、著作権で保護された情報を使用、複製、配布することを指します。捏造とは、不正なソースを通じてシステムに挿入された虚偽のデータや情報を使用したとして誰かを告発することです。傍受の例としては、Bank NSP 事件、Sony.Sambandh.com 事件、ビジネスメール詐欺などがあります。^{[ 9 ]}

コンピュータフォレンジックラボは、電子データを管理された条件下で保存、管理、アクセスできる安全な環境であり、証拠の損傷や改ざんのリスクを最小限に抑えます。フォレンジック調査官には、調査対象のデバイスから有意義なデータを抽出するために必要なリソースが提供されます。^{[ 15 ]}

コンピュータフォレンジック調査では、以下のような様々な手法が用いられます。

クロスドライブ分析

この技術は、複数のハードドライブで見つかった情報を相関させ、ソーシャルネットワークを特定したり、異常を検出したりするために使用できます。^{[ 16 ] [ 17 ]}

ライブ分析

フォレンジックツールまたは既存のシステム管理ツールを使用して、オペレーティングシステム内からコンピュータを調査し、証拠を抽出する。この手法は、暗号化キーを取得できる暗号化ファイルシステムの処理や、コンピュータをシャットダウンする前に論理ハードドライブボリュームをイメージ化（ライブ取得）する場合に特に役立つ。ライブ分析は、物理的にアクセスできないネットワークシステムやクラウドベースのデバイスを調査する場合にも役立つ。^{[ 18 ]}

削除されたファイル

一般的なフォレンジック手法の一つに、削除されたファイルの復元があります。ほとんどのオペレーティングシステムやファイルシステムは物理的なファイルデータを消去しないため、捜査官は物理ディスクセクターからデータを再構築できます。フォレンジックソフトウェアは、既知のファイルヘッダーを検索して削除されたデータを再構築することで、ファイルを「抽出」することができます。

確率的フォレンジック

この手法は、システムの確率的特性を利用して、従来のデジタル証拠を残さずに活動を調査するもので、データ窃盗事件などで特に有効です。

ステガノグラフィー

ステガノグラフィーとは、例えば画像の中に違法なコンテンツを隠すなど、データを別のファイル内に隠蔽する手法です。法医学捜査官は、ファイルのハッシュ値を比較することでステガノグラフィーを検出します。隠蔽されたデータはファイルのハッシュ値を変化させるためです。

電話ログ

電話会社は通常、受信した通話のログを保持しており、これはタイムラインを作成したり、犯罪発生時の容疑者の位置を特定したりするのに役立ちます。^{[ 19 ]}

連絡先

連絡先リストは、被害者とのつながりに基づいて容疑者を絞り込むのに役立ちます。^{[ 19 ]}

テキストメッセージ

テキストメッセージにはタイムスタンプが含まれており、デバイスから削除されても、多くの場合、無期限に会社のサーバーに残ります。これらの記録は、個人間のコミュニケーションを再構築するための貴重な証拠となります。^{[ 19 ]}

写真

写真は、撮影場所と時間を示すことでアリバイを裏付けたり反証したりする重要な証拠となり得る。^{[ 19 ]}

音声録音

被害者の中には、攻撃者の声などの詳細を記録した決定的な瞬間を録音している人もおり、それが重要な証拠となる可能性がある。^{[ 19 ]}

揮発性データはメモリ内または転送中に保存され、コンピュータの電源を切ると失われます。レジストリ、キャッシュ、RAMなどの場所に格納されます。揮発性データの調査は「ライブフォレンジック」と呼ばれます。

証拠を押収する際、コンピュータがまだ稼働している場合、システムをシャットダウンする前に復旧しないと、 RAMにのみ保存されている揮発性データが失われる可能性があります。「ライブ分析」を使用して、コンピュータを撤去する前にRAMデータを復旧できます（例：MicrosoftのCOFEEツール、WinDD、WindowsSCOPEなどを使用）。CaptureGUARD Gatewayなどのツールを使用すると、ロックされたコンピュータから物理メモリを取得できます。

RAMデータは、メモリセル内の電荷がゆっくりと消散するため、停電後でも復旧できる場合がある。コールドブート攻撃などの手法はこの特性を利用する。低温かつ高電圧であれば復旧の可能性は高まるが、現場での調査においてこれらの手法を適用するのは現実的ではないことが多い。

揮発性データを抽出するツールは、証拠保全のためにコンピュータを鑑識ラボに持ち込む必要がある場合が多い。場合によっては、スリープモードを回避するためのマウスジグラーや、電源供給を維持するための無停電電源装置（UPS）などのツールを使用することで、稼働中のデスクトップコンピュータを運搬できる。

NTFSやReiserFSなどのジャーナリング機能を備えたファイルシステムのページファイルは、システム動作中に保存されたRAMデータを復元するために再構成することもできます。

コンピュータフォレンジックには、オープンソースおよび商用のツールが数多く存在します。一般的なフォレンジック分析には、メディアの手動レビュー、Windowsレジストリ分析、パスワードクラッキング、キーワード検索、電子メールや画像の抽出などが含まれます。Autopsy （ソフトウェア）、Belkasoft Evidence Center X、Forensic Toolkit（FTK）、EnCaseなどのツールは、デジタルフォレンジックで広く使用されています。

デジタルフォレンジックアナリストは、デジタル証拠の保全、収集した証拠のカタログ化、進行中の事件に関連する証拠の分析、サイバー侵害への対応（多くの場合、企業環境において）、調査結果を含むレポートの作成、および法廷での証言を担当します。^{[ 20 ]}デジタルフォレンジックアナリストは、コンピュータフォレンジックアナリスト、デジタルフォレンジック調査官、サイバーフォレンジックアナリスト、フォレンジック技術者、または同様の名称の他の役職で呼ばれることもありますが、これらの役割は同様の職務を遂行します。^{[ 21 ]}

コンピュータフォレンジックの認定資格はいくつかあり、ISFCE認定コンピュータ検査官、デジタルフォレンジック調査専門家（DFIP）、IACRB認定コンピュータフォレンジック検査官などがあります。特にEU内で最も権威のあるベンダー非依存の認定資格は、認定サイバーフォレンジック専門家（CCFP）です。^{[ 22 ] [ 23 ]}

多くの商用フォレンジックソフトウェア企業も独自の認証を提供している。^{[ 24 ]}

• IEEE情報フォレンジックおよびセキュリティに関する論文集
• デジタルフォレンジック、セキュリティ、法律ジャーナル
• 国際デジタル犯罪・鑑識ジャーナル
• デジタル調査ジャーナル
• 国際デジタルエビデンスジャーナル
• 国際法医学コンピュータ科学ジャーナル
• デジタルフォレンジック実践ジャーナル
• 暗号学
• 小規模デジタル機器フォレンジックジャーナル