ネットワークフォレンジック

ネットワークフォレンジックは、情報収集、法的証拠、侵入検知を目的としたコンピュータネットワークトラフィックの監視と分析に関連するデジタルフォレンジックのサブブランチです。^[1]デジタルフォレンジックの他の分野とは異なり、ネットワーク調査は揮発性で動的な情報を扱います。ネットワークトラフィックは送信されてから失われるため、ネットワークフォレンジックは多くの場合、プロアクティブな調査です。^[2]

ネットワークフォレンジックには、一般的に2つの用途があります。1つ目はセキュリティに関するもので、ネットワークを監視して異常なトラフィックを検出し、侵入を特定することです。攻撃者は侵入したホスト上のすべてのログファイルを消去できる可能性があるため、ネットワークベースの証拠がフォレンジック分析に利用できる唯一の証拠となる可能性があります。^[3] 2つ目は法執行機関に関するものです。この場合、キャプチャされたネットワークトラフィックの分析には、転送されたファイルの再構築、キーワードの検索、電子メールやチャットセッションなどの人間のコミュニケーションの解析などのタスクが含まれます。

ネットワーク データを収集するために一般的に使用される 2 つのシステムがあります。1 つは、力ずくで「できるだけキャッチする」方法、もう 1 つは、よりインテリジェントな「停止、観察、聴取」方法です。

ネットワークフォレンジックは、比較的新しい法医学の分野です。家庭でのインターネットの普及により、コンピューティングはネットワーク中心になり、ディスクベースのデジタル証拠以外でもデータが利用できるようになりました。ネットワークフォレンジックは、単独の調査として、またはコンピュータフォレンジック分析と並行して実行できます（デジタルデバイス間のリンクを明らかにしたり、犯罪がどのように行われたかを再構築したりするためによく使用されます）。^[2]

マーカス・ラナムは、ネットワークフォレンジックを「セキュリティ攻撃やその他の問題の発生源を発見するために、ネットワークイベントをキャプチャ、記録、分析すること」と定義したと言われています。^[4]

証拠が通常ディスク上に保存されるコンピュータフォレンジックと比較すると、ネットワークデータはより不安定で予測不可能です。調査員は、セキュリティ侵害を予測するためにパケットフィルタ、ファイアウォール、侵入検知システムが設定されているかどうかを調べるための資料しか持っていないことが多いです。^[2]

フォレンジック目的でネットワークデータを収集するために使用されるシステムには、通常2つの形式があります。^[5]

• 「キャッチ・アズ・ユー・キャン」 – 特定のトラフィック ポイントを通過するすべてのパケットがキャプチャされ、ストレージに書き込まれ、その後バッチ モードで分析が行われます。このアプローチでは、大量のストレージが必要です。
• 「停止、観察、聴取」 – これは、各パケットがメモリ内で基本的な方法で分析され、特定の情報のみが将来の分析のために保存される方法です。このアプローチでは、着信トラフィックに対応するために、より高速なプロセッサが必要です。

このレイヤーのすべてのデータを適切に処理することで、ユーザーはさまざまなイベントをフィルタリングできます。これらのツールを使用すると、Web サイトのページ、電子メールの添付ファイル、その他のネットワーク トラフィックを、暗号化されずに送信または受信された場合にのみ再構築できます。このデータを収集する利点は、ホストに直接接続されることです。たとえば、特定の時間におけるホストの IP アドレスまたはMAC アドレスがわかっている場合、この IP アドレスまたは MAC アドレスとの間で送受信されるすべてのデータをフィルタリングできます。

IP と MAC アドレス間の接続を確立するには、補助ネットワーク プロトコルを詳しく調べると便利です。アドレス解決プロトコル (ARP) テーブルには、MAC アドレスとそれに対応する IP アドレスがリストされます。

この層でデータを収集するには、ホストのネットワーク インターフェイス カード(NIC) を「プロミスキャス モード」に設定できます。これにより、ホスト向けのトラフィックだけでなく、すべてのトラフィックが CPU に渡されます。

ただし、侵入者や攻撃者が自分の接続が盗聴される可能性があることを認識している場合、暗号化を使用して接続を保護する可能性があります。今日では暗号化を破ることはほぼ不可能ですが、容疑者の別のホストへの接続が常に暗号化されているという事実は、他のホストが容疑者の共犯者であることを示している可能性があります。

ネットワーク層では、インターネット プロトコル(IP) は、ネットワーク全体のルーターが解釈できる送信元と送信先の情報を追加することで、TCPによって生成されたパケットをネットワーク (インターネットなど) 経由で送信する役割を担います。GPRSなどのセルラー デジタル パケット ネットワークは、IP と同様のプロトコルを使用しているため、IP について説明した方法は、これらのネットワークでも同様に機能します。

正しいルーティングを行うには、すべての中間ルーターに、パケットを次にどこに送信するかを知るためのルーティング テーブルが必要です。これらのルーティング テーブルは、デジタル犯罪を調査して攻撃者を追跡する場合に最も役立つ情報源の 1 つです。これを行うには、攻撃者のパケットを追跡し、送信ルートを逆順にたどり、パケットの送信元であるコンピューター (つまり、攻撃者) を見つける必要があります。

インターネット上でTLS暗号化が普及していることを考えると、2021年4月の時点で^[update]、マルウェアの半数が検出を回避するためにTLSを使用していると推定されています。^[6]暗号化トラフィック分析では、トラフィックを検査して、通常は珍しいネットワーク^[7]またはサーバー^[8]へのTLS特性の疑わしい組み合わせを検出することにより、マルウェアやその他の脅威からの暗号化トラフィックを識別します。暗号化トラフィック分析の別のアプローチでは、生成された指紋のデータベースを使用しますが^[9]、これらの手法はハッカーによって簡単にバイパスされ^{[10] [11]}、不正確であると批判されています。

インターネットは、ウェブ閲覧、電子メール、ニュースグループ、同期チャット、ピアツーピアトラフィックなど、デジタル証拠の豊富な情報源になり得ます。たとえば、ウェブサーバーのログを使用すれば、容疑者が犯罪行為に関連する情報にいつアクセスしたか（またはアクセスしたかどうか）を示すことができます。電子メールアカウントには有用な証拠が含まれていることがよくありますが、電子メールヘッダーは簡単に偽造できるため、ネットワークフォレンジックを使用して、有罪を示す資料の正確な出所を証明することができます。ネットワークフォレンジックは、ネットワークトラフィックからユーザーアカウント情報を抽出することにより、 特定のコンピューターを誰が使用しているかを調べるためにも使用できます^{[12] 。}

ワイヤレス フォレンジックは、ネットワーク フォレンジックのサブ分野です。ワイヤレス フォレンジックの主な目的は、法廷で有効なデジタル証拠として提示できる(ワイヤレス)ネットワーク トラフィックを収集および分析するために必要な方法論とツールを提供することです。収集された証拠は、プレーン データに対応する場合もあれば、特にワイヤレスでのVoice-over-IP (VoIP) テクノロジの広範な使用により、音声会話が含まれる場合もあります。

ワイヤレス ネットワーク トラフィックの分析は有線ネットワークの場合と同様ですが、ワイヤレスセキュリティ対策も考慮されることがあります。

• ネットワークフォレンジックツールとデータセットの概要（2021年）
• 法医学ウィキ (2010)