ディジタルフォレンジックスとは？

ディジタルフォレンジックスの意味

不正アクセスや情報漏えいなどのインシデント発生時に、原因究明や法的な証拠とするために、コンピュータやネットワークに残された記録を収集・保全・分析すること。

ディジタルフォレンジックスの具体例

情報漏えいが疑われた際、対象のPCのディスクをそのままの状態でコピー（証拠保全）し、専門家が改変されていないコピー上で不正な操作の痕跡を解析する。

ディジタルフォレンジックスは試験でどう引っ掛けられる？

調査対象の機器をそのまま操作すると証拠が変化・消失してしまうため、まず原本を保全してから複製上で分析するという手順が重視される。

ディジタルフォレンジックスと関連する用語

• 監査ログ

ディジタルフォレンジックスが出た過去問

• インシデントの調査やシステム監査にも利用できる、証拠を収集し保全する技法はどれか。

  正解：ディジタルフォレンジックス

  要点：証拠を改変せず収集・保全する技法がフォレンジックス

  ディジタルフォレンジックスは、不正やインシデントの原因究明・法的立証のために、電子的記録を改変せずに収集し、原本性と証拠能力を保ったまま保全・分析する技法である。ログやディスクイメージの取得時にハッシュ値を記録するなど、後から改ざんされていないことを示せる手順を踏む点が特徴である。システム監査でも監査証拠の入手手段として活用できる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問38（IPA）

• ディジタルフォレンジックスでハッシュ値を利用する目的として、適切なものはどれか。

  正解：証拠となり得るデータについて、原本と複製の同一性を証明する。

  要点：ハッシュ値の一致で証拠の原本と複製の同一性を証明する

  ディジタルフォレンジックスでは、原本のディスクをそのまま解析すると内容が変わってしまうため、複製を作って調べる。このとき原本と複製それぞれのハッシュ値を取って一致を示すことで、複製が原本と同一であり、以後改変されていないことを客観的に証明できる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問16（IPA）

• ディジタルフォレンジックスの説明として、適切なものはどれか。

  正解：不正アクセスなどコンピュータに関する犯罪に対してデータの法的な証拠性を確保できるように、原因究明に必要なデータの保全、収集、分析をすること

  要点：フォレンジックスは証拠性を保った保全・収集・分析

  ディジタルフォレンジックスは、不正アクセスなどのインシデントについて、法的な証拠として通用する形でデータを保全・収集・分析する取組みである。証拠が改変されていないことを示すため、複製時のハッシュ値取得や、取扱いの経緯を記録する管理（証拠保全の連鎖）が重視される。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問15（IPA）

• デジタルフォレンジックスでハッシュ値を利用する目的として、適切なものはどれか。

  正解：証拠となり得るデータについて、原本と複製の同一性を証明する。

  要点：ハッシュ値の一致で証拠の同一性・完全性を示す

  デジタルフォレンジックスでは証拠を解析する際、原本を壊さないよう複製を取って作業する。このとき原本と複製それぞれのハッシュ値が一致することを示せば、複製が原本と同一であり改変されていないことを客観的に証明できる。ハッシュは一方向性と衝突困難性をもつため、証拠の完全性を担保する手段として使われる。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問10（IPA）

• デジタルフォレンジックスの説明はどれか。

  正解：情報セキュリティインシデント発生時に，法的な証拠となるデータを収集し，保管し，調査分析すること

  要点：デジタルフォレンジックスは法的証拠となるデータの保全と分析

  デジタルフォレンジックスは、インシデントが起きたときに機器やログから法的な証拠となるデータを保全し、改変されていないことを示せる形で保管して分析する活動です。原本を直接操作せず複製を作って解析する、取扱いの経緯を記録するといった手順が重視されます。原因究明だけでなく、訴訟や報告に耐える証拠づくりが目的です。

  出典：令和5年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問3（IPA）