確率的フォレンジック

確率的フォレンジックは、現代のコンピュータの確率的性質から生じる創発特性を分析することにより、アーティファクトのないデジタル活動をフォレンジック的に再構築する方法です。 ^{[ 1 ] [ 2 ] [ 3 ]}デジタルアーティファクトに依存する従来のコンピュータフォレンジックと は異なり、確率的フォレンジックはアーティファクトを必要としないため、そうでなければ見えない活動を再現できます。^{[ 3 ]}その主な用途は、内部データ窃盗 の調査です。^{[ 1 ] [ 2 ] [ 4 ]}

確率的フォレンジックは、内部データ窃盗を検出および調査するために、 2010 年にコンピュータ科学者のジョナサン・グリアによって発明されました。^{[ 2 ]}内部データ窃盗は、ファイル属性やWindows レジストリの変更などの痕跡を 残さないため、従来の方法では調査が非常に困難であることが知られています。^{[ 3 ] [ 5 ]} そのため、業界は新しい調査技術を求めていました。^{[ 6 ]}

確率的フォレンジックは、発明以来、内部データ窃盗の実際の調査に使用され、^{[ 6 ]}学術研究の対象となり、^{[ 1 ] [ 7 ]}業界のツールとトレーニングの需要を満たしてきました。^{[ 2 ] [ 8 ] [ 9 ]}

確率的フォレンジックの主な用途は、内部データ窃盗の検出と調査です。内部データ窃盗は、技術的にデータへのアクセス権限を持ち、業務の一環として定期的にデータを使用する人物によって行われることがよくあります。内部データ窃盗は、アーティファクトを作成したり、ファイル属性やWindows レジストリを変更したりしません。^{[ 5 ]} したがって、その性質上、攻撃の痕跡を残す外部コンピュータ攻撃とは異なり、内部データ窃盗は事実上目に見えません。^{[ 3 ]}

しかし、このような大規模なコピーによって、ファイルシステムのメタデータの統計的分布が影響を受けます。確率的フォレンジックでは、この分布を分析することで、このようなデータ盗難を特定し調査することができます。一般的なファイルシステムでは、ファイルアクセスの分布は裾が重い分布になっています。大量コピーはこのパターンを乱し、結果として検出可能になります。^{[ 1 ] [ 2 ]}

このことを踏まえ、確率力学は、他の手法では失敗した内部データ窃盗の調査に成功裏に使用されてきた。^{[ 1 ] [ 2 ] [ 3 ] [ 6 ]}通常、確率的フォレンジックによってデータ窃盗が特定された後、従来のフォレンジック手法を用いたフォローアップが必要となる。^{[ 6 ]}

確率的フォレンジックは、データ窃盗の証拠や兆候を提供するだけで、具体的な証明にはならないと批判されてきた。実際、この手法では、実務者は「アリストテレスではなくシャーロックのように考える」必要がある。データ窃盗以外の特定の許可された活動でも、統計分布に同様の乱れが生じる可能性がある。^{[ 1 ] [ 6 ]}

さらに、多くのオペレーティングシステムはデフォルトではアクセスタイムスタンプを追跡しないため、確率的フォレンジックは直接適用できません。これらのオペレーティングシステムやデータベースに確率的フォレンジックを適用する研究が進行中です。^{[ 2 ]}

さらに、現状では、確率的フォレンジックの適用と評価には訓練を受けたフォレンジックアナリストが必要です。ガイダンスソフトウェア社などから、確率的フォレンジックを自動化するツールの開発を求める声が上がっています。^{[ 2 ]}

• 「確率的フォレンジックを用いたデータ窃盗の検出」、デジタル調査ジャーナル
• 「デジタルフォレンジックが内部犯行をどのように検出するか」、インフォメーションウィーク
• 「新たな鑑識手法で内部犯を逮捕できる可能性」、ダーク・リーディング