コンピュータ・フォレンジクスとは？わかりやすく解説

画像外部リンク
	書き込み防止装置; TABLEAU Forensic STAT/IDE Bridge Model T35i
	ハードディスクドライブに接続した携帯式書き込み防止装置; TABLEAU FireWire800+USB2.0 SATA Bridge

コンピュータ・フォレンジクス（英語: computer forensics、コンピュータ・フォレンジック・サイエンス）は、コンピュータやデジタル記録媒体の中に残された法的証拠に関わるデジタル的な法科学（フォレンジック・サイエンス）の一分野である^[1]。現在は、デジタル・フォレンジクス (digital forensics)の中の小分野として分類されている。

コンピュータ・フォレンジクスの目的は、コンピュータ・システム自身やハードディスクドライブまたはCD-ROMのような記録媒体、電子文書中のメッセージやJPEG画像のような、デジタル製品の最新の状態を明らかにすることである^[2]。法科学的な分析の範囲は単純な情報の修復から一連の事象の再構成までが含まれる。

用語

「法科学#用語」も参照

英語での元の単語は形容詞 forensic であり、「法廷の」または「公開の」、「法的に有効な」という意味である（その元はラテン語であり、｢フォーラム（広場）の｣という意味）。

証拠としての使用

デジタルな証拠に通常求められる要求に加えて、コンピュータ・フォレンジクスにはとりわけ多くの指針と法的手続きが存在している。

イギリスの法的指針

デジタル証拠の完全性を維持するという要求に応じるために、イギリスの調査官はAssociation of Chief Police Officers（ACPO）の指針に従う^[3]^[4]。その指針は以下の4つの原則からなる。

法執行機関またはそれらの代理人は、後に法廷で要求され得るコンピュータまたは記録媒体に保持されているデータに対して、いかなる変更も施すべきでない。
コンピュータまたはストレージ・メディアに保持されている原データにアクセスする必要があると判断する例外的事情のある場合、アクセスする者はその資格がなければならず、それらの行為の妥当性と意味合いを説明し、証拠を示すことができなければならない。
電子的証拠に基づいてコンピュータに適用される全ての過程の監査記録または他の記録は、作成され保存されるべきである。独立した第三者がそれらの過程を調査し、同様の結果を得ることができるべきである。
捜査の担当者（the case officer）は法とこれらの原則が遵守されることを確実にする全ての責務がある。

実例

コンピュータ・フォレンジクスは多くの事例で重要な役割を果たしている。

BTKキラー: デニス・レイダーは16年間にわたる一連の連続殺人で有罪判決を受けた。逮捕される前に、レイダーは何通かの手紙をフロッピーディスクに入れて警察に送っていた。その文書中のメタデータから、"Dennis"という名の筆者と"Christ Lutheran Church"の関連が浮かび上がった。この証拠はレイダーの逮捕につながった。

ジョセフ・ E・ダンカン3世: ダンカン（Joseph E. Duncan III）のコンピュータから、彼が犯罪を計画したことを示す証拠を含んだ表計算ソフトの表が復元された。検察はこれを証拠として予謀を証明し、死刑判決を確定させた^[5]。

シャロン・ロパートカ: 捜査員は、シャロン・ロパートカ（Sharon Lopatka）のコンピュータに残されていた数百通ものEメールから、彼女を殺害したロバート・グラスを割り出した^[6]。

日本での導入・利用

日本では大阪地検特捜部主任検事証拠改ざん事件を機に、2010年に東京・大阪・名古屋各地検の特捜部に導入された。オリンパス事件、徳洲会事件、小渕優子関連団体の政治資金規正法違反事件などで応用された。2017年4月には東京地検内に全国の検察事務官などを集めて、人材育成や解析支援を担当する「DFセンター」が開設された^[7]。

検察や警察などの政府機関だけでなく、依頼を受けた民間企業が手掛ける場合もある。2011年に発覚した大相撲八百長問題では、AOSテクノロジーのリーガルテック部門（現・AOSリーガルテック）が、破壊された携帯電話から電子メールの内容を復元した^[8]。

フォレンジクスの過程

「Digital forensic process」も参照

コンピュータ・フォレンジクス捜査の標準的な手順は、データ取得、調査、解析、そして報告から成る。黎明期には専門ツールが不足していたため、稼動中のコンピュータを捜査せざるを得ない場合が一般的であったが、現代では稼動中のシステムではなく静的データ、つまりイメージファイルに対して捜査を行うのが一般的である。

揮発性データ

証拠物を押収するとき、もし機器がまだ稼働中ならば、RAM上のデータは電源を切ると失われる可能性が高い^[5]。

メモリセルに蓄積された電荷の放散に時間がかかるので、電力停止後にもRAMにある重要な内容が解析されうる。データ回復が可能な時間は、低温であって高いセル電圧であるほど長くなる。RAMを−60℃ 下で電源が入っていない状態に保持できれば、電荷の放散が抑えられてデータ回復が成功する見込みは高くなる。しかし、現場調査でそういった対応は非現実的である^[9]。

技法

Cross-drive analysis: 複数のハードディスクドライブから発見された情報を関連づける技法。この技法は、まだ研究段階であるが、人間関係の解明や異常検知への活用が提案されている^[10]^[11]。

Live analysis: 対象物のOSが稼動している状態で、独自のフォレンジック・ツールや既存の管理ツールを使用して証拠データを取得し、コンピュータを調査する技法。この技法は、暗号化ファイルシステム（Encrypting File System）を扱う場合に有用であり、例えばデータが復号されている内に暗号化キーを収集できる可能性がある。また、コンピュータがシャットダウンして論理ハードドライブ・ボリュームが暗号化される前にそのイメージを取得できる可能性がある（いわゆる"live acquisition"である）^[12]。

削除ファイルの復旧: コンピュータ・フォレンジクスで使用される一般的な技法の1つが、削除されたファイルの復旧（Recovery of deleted files）である。現代のフォレンジック・ツールは、削除されたファイルをファイルシステムに基づいて復旧する機能、もしくはファイル内容の特徴（ヘッダ等）に基づいて復旧する機能を有する^[13]。多くのOS及びファイルシステムでは、ファイルを論理的に削除しても物理的にはデータが残存するため、未使用セクタに物理アクセスを行ってデータ復旧を試みることが可能である。

ステガノグラフィ (Steganography): データを隠蔽する手法として、ステガノグラフィがある。これは、画像などのバイナリファイルの中にデータを埋め込んで隠す手法である。使用例としては、児童ポルノなどの違法なデータの隠蔽が挙げられる。この手法への対策としては、ハッシュ値の比較がある。証拠物の中の一見無害なファイルのハッシュ値と、そのオリジナルのファイル（入手できれば）のハッシュ値を比較し、相違があればファイル内容にも相違があり、違法データが埋め込まれている可能性があると看破できる^[14]。

解析ツール

多くのオープンソースツール及び商用ツールがコンピュータ・フォレンジクス捜査のために存在する。

EnCase (en)
FTK (en)
PTK Forensics (en)
The Sleuth Kit (en)
The Coroner's Toolkit (en)
COFEE
Selective file dumper (en)

フォレンジック解析の典型例としては、メディア上の資料の手動調査、Windowsレジストリ上の疑わしい情報に関する調査、パスワードの発見とクラッキング、犯罪に関連した主題のキーワード検索、Eメールや画像の抽出及び調査が挙げられる^[6]。

認証

コンピュータ・フォレンジクスについて、さまざまな認証がある。アメリカ合衆国の多くの州法はコンピュータ・フォレンジック鑑定人に専門的認証または私的捜査員のライセンスを取得することを求めている。^[要出典]

一般的認証

GIAC Certified Forensic Analyst（GCFA）認証はGlobal Information Assurance Certificationが実施している^[15]。GCFA認証取得者は2010年の時点で2100人以上に上る^[16]。
Certified Computer Examiner（CCE）認証はInternational Society of Forensic Computer Examinersが運営している。2010年時点で28カ国・1000人以上のCCE取得者か代理人として活動している^[17]。
Certified Computer Forensics Examiner（CCFE）認証はIACRBが実施している^[18]。CCFE取得者は2009年7月時点で1000人以上いる。^[要出典]
Certified Forensic Computer Examiner（CFCE）はIACISが実施している^[19]。
IFS Cyber Forensic, Cyber Law, Cyber Crime and Cyber Security Certifications - IFS INDIが実施している^[20]。
Certified Ethical Hacker - EC-Councilが実施している^[21]。

他にも、EnCase Certified Examiner（EnCE）認証やAccessData ACE認証のように製品固有の認証を提供するコンピュータ・フォレンジック・ソフトウェア企業がある。

脚注

^ Michael G. Noblett; Mark M. Pollitt, Lawrence A. Presley (2000年10月). “Recovering and examining computer forensic evidence”. 2010年7月26日閲覧。
^ A Yasinsac; RF Erbacher, DG Marks, MM Pollitt (2003年). “Computer forensics education”. IEEE Security & Privacy. 2010年7月26日閲覧。
^ Pollitt, MM. “Report on digital evidence”. 2010年7月24日閲覧。
^ “ACPO Good Practice Guide for Computer-Based Evidence”. ACPO. 2010年7月24日閲覧。
^ ^a ^b Various (2009年). Eoghan Casey. ed. Handbook of Digital Forensics and Investigation. Academic Press. pp. 567ページ. ISBN 0123742676 2010年8月27日閲覧。.
^ ^a ^b Casey, Eoghan (2004年). Digital Evidence and Computer Crime, Second Edition. Elsevier. ISBN 0-12-163104-4.
^ 「森友」交渉記録、電子鑑識へPCデータ復元、国有地売却交渉を究明大阪地検『産経新聞』朝刊2017年8月23日
^ 壊したスマホ証拠逃さぬ『日経産業新聞』2017年11月9日（16面）
^ J. Alex Halderman, Seth D. Schoen, Nadia Heninger, William Clarkson, William Paul, Joseph A. Calandrino, Ariel J. Feldman, Jacob Appelbaum, and Edward W. Felten (2008年2月21日). Lest We Remember: Cold Boot Attacks on Encryption Keys. プリンストン大学. http://citp.princeton.edu/memory/ 2009年11月20日閲覧。.
^ Garfinkel, S. (2006年8月). “Forensic Feature Extraction and Cross-Drive Analysis”. 2010年9月27日閲覧。
^ “EXP-SA: Prediction and Detection of Network Membership through Automated Hard Drive Analysis”. 2010年9月27日閲覧。
^ Maarten Van Horenbeeck (2006年5月24日). “Technology Crime Investigation”. 2010年8月18日閲覧。
^ Aaron Phillip; David Cowen, Chris Davis (2009年). Hacking Exposed: Computer Forensics. McGraw Hill Professional. pp. 544ページ. ISBN 0071626778 2010年8月27日閲覧。.
^ Dunbar, B (2001年1月). “A detailed look at Steganographic Techniques and their use in an Open-Systems Environment”. 2016年12月8日閲覧。
^ “GIAC Certified Forensic Analyst (GCFA)”. 2010年7月31日閲覧。
^ “2,146 GCFA Credentials Granted - 199 GCFA Gold”. 2010年7月31日閲覧。
^ “International Society of Forensic Computer Examiners”. 2010年8月23日閲覧。
^ Information Assurance Certification Review Board
^ International Association of Computer Investigative Specialists, 公式ウェブサイト
^ IFS Education Department, 公式ウェブサイト
^ EC-Council, 公式ウェブサイト

発展資料

「コンピュータ・フォレンジクス」をさらに詳しく知るための発展資料

A Practice Guide to Computer Forensics, First Edition (Paperback) by David Benton (Author), Frank Grindstaff (Author)

Casey, Eoghan; Stellatos, Gerasimos J. (2008). “The impact of full disk encryption on digital forensics”. Operating Systems Review 42 (3): 93–98. doi:10.1145/1368506.1368519.

YiZhen Huang and YangJing Long (2008). “Demosaicking recognition with applications in digital photo authentication based on a quadratic pixel correlation model”. Proc. IEEE Conference on Computer Vision and Pattern Recognition: 1–8.

Incident Response and Computer Forensics, Second Edition (Paperback) by Chris Prosise (Author), Kevin Mandia (Author), Matt Pepe (Author) "Truth is stranger than fiction..." (more)

Ross, S. and Gow, A. (1999). Digital archaeology? Rescuing Neglected or Damaged Data Resources. Bristol & London: British Library and Joint Information Systems Committee. ISBN 1-900508-51-6.

George M. Mohay (2003). Computer and intrusion forensics. Artech House. pp. 395. ISBN 1580533698.

外部リンク

デジタル・フォレンジックとは - デジタル・フォレンジック研究会　
基本的なコンピュータフォレンジックガイド - Microsoft TechNet Magazine
コンピュータフォレンジックってなんだ?! - 中小企業基盤整備機構 J-Net21
「コンピュータ・フォレンジック」とは - 日経BP ITpro
情報ガバナンス研究室

英文リンク

US NIST Digital Data Acquisition Tool Specification (PDF)
Forensics Wiki - コンピュータ・フォレンジクス情報のクリエイティブ・コモンズ・ウィキ。
Computer Forensics World Forum
IT Crime Investigation: An overview of techniques
Original Computer Forensics Wiki
Electronic Evidence Information Center
Forensic Focus
Digital Forensic Research Workshop (DFRWS)
Computer Forensic Whitepapers (SANS)

[noblett-1] Michael G. Noblett; Mark M. Pollitt, Lawrence A. Presley (2000年10月). “Recovering and examining computer forensic evidence”. 2010年7月26日閲覧。

[cf-education-2] A Yasinsac; RF Erbacher, DG Marks, MM Pollitt (2003年). “Computer forensics education”. IEEE Security & Privacy. 2010年7月26日閲覧。

[pollitt-3] Pollitt, MM. “Report on digital evidence”. 2010年7月24日閲覧。

[ACPO-4] “ACPO Good Practice Guide for Computer-Based Evidence”. ACPO. 2010年7月24日閲覧。

[handbook-5] Various (2009年). Eoghan Casey. ed. Handbook of Digital Forensics and Investigation. Academic Press. pp. 567ページ. ISBN 0123742676 2010年8月27日閲覧。.

[casey-6] Casey, Eoghan (2004年). Digital Evidence and Computer Crime, Second Edition. Elsevier. ISBN 0-12-163104-4.

[7] 「森友」交渉記録、電子鑑識へPCデータ復元、国有地売却交渉を究明大阪地検『産経新聞』朝刊2017年8月23日

[8] 壊したスマホ証拠逃さぬ『日経産業新聞』2017年11月9日（16面）

[ColdBoot-9] J. Alex Halderman, Seth D. Schoen, Nadia Heninger, William Clarkson, William Paul, Joseph A. Calandrino, Ariel J. Feldman, Jacob Appelbaum, and Edward W. Felten (2008年2月21日). Lest We Remember: Cold Boot Attacks on Encryption Keys. プリンストン大学. http://citp.princeton.edu/memory/ 2009年11月20日閲覧。.

[garfinkel-10] Garfinkel, S. (2006年8月). “Forensic Feature Extraction and Cross-Drive Analysis”. 2010年9月27日閲覧。

[nsf-11] “EXP-SA: Prediction and Detection of Network Membership through Automated Hard Drive Analysis”. 2010年9月27日閲覧。

[horenbeeck-12] Maarten Van Horenbeeck (2006年5月24日). “Technology Crime Investigation”. 2010年8月18日閲覧。

[exposed-13] Aaron Phillip; David Cowen, Chris Davis (2009年). Hacking Exposed: Computer Forensics. McGraw Hill Professional. pp. 544ページ. ISBN 0071626778 2010年8月27日閲覧。.

[dunbar-14] Dunbar, B (2001年1月). “A detailed look at Steganographic Techniques and their use in an Open-Systems Environment”. 2016年12月8日閲覧。

[15] “GIAC Certified Forensic Analyst (GCFA)”. 2010年7月31日閲覧。

[16] “2,146 GCFA Credentials Granted - 199 GCFA Gold”. 2010年7月31日閲覧。

[17] “International Society of Forensic Computer Examiners”. 2010年8月23日閲覧。

[18] Information Assurance Certification Review Board

[19] International Association of Computer Investigative Specialists, 公式ウェブサイト

[20] IFS Education Department, 公式ウェブサイト

[21] EC-Council, 公式ウェブサイト

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

[16]

[17]

[18]

[19]

[20]

[21]

コンピュータ・フォレンジクスとは？わかりやすく解説

コンピューター‐フォレンジック【computer forensic】