デジタルフォレンジックとは？種類と手順を知ってセキュリティに役立てよう！【事例付き】

犯罪捜査において決め手となるのが、科学的証拠の有無です。これは物理的なものの窃盗や破損だけでなく、コンピューター犯罪においても同様です。

コンピューターやインターネットの発達により急増したハイテク犯罪において、法的証拠となりえる情報を入手する技術のひとつに「デジタルフォレンジック」があります。

この記事では、近年話題になっているデジタルフォレンジックの概要と活用事例について解説します。

デジタルフォレンジックとは？

デジタルフォレンジックとは、情報漏えい事件や不正操作など情報セキュリティ面での問題が生じた際、またはそのほかの犯罪捜査や法的紛争などで、コンピューターなどの電子機器に残る記録を保全・収集・分析する手段や技術のことです。

フォレンジックスは英語で「forensics」とつづり、日本語では「法医学」「科学捜査」「鑑識」といった意味があります。つまり、デジタルフォレンジックは「デジタル鑑識」のことを指します。

最近では、デジタルフォレンジックの意味で単に「フォレンジック」と呼ばれることもあります。

コンピューターに保存されているデータは、ファイルという形で保存されている電磁的記録です。そのため、コピーや改ざんが容易に行われてしまいます。それに備え、デジタルフォレンジックのように法的効力のある形でデータを保存する技術が必要不可欠になってきています。

これまでデジタルフォレンジックは、近年増加している不正アクセスなどのサイバー犯罪によるインシデント（好ましくない事態）で使われてきました。さらに最近では、一般の刑事事件などでも活用され始めています。

デジタルフォレンジックによって得られた調査結果は、法的根拠をもつ重要な証拠となりえます。

さらに企業でデジタルフォレンジックを取り入れていることを明言することで、情報の持ち出しなどの内部不正に対する抑止力としての効果も期待できます。

デジタルフォレンジックの種類

デジタルフォレンジックには、大きく分けて、以下の3つの種類があります。

• コンピューターフォレンジック
• モバイルデバイスフォレンジック
• ネットワークフォレンジック

この3つについて詳しく紹介します。

■コンピューターフォレンジック

コンピューターフォレンジック（コンピュータ・フォレンジック）は、コンピューター本体のハードディスクに保存された情報を解析する技術です。対象となるコンピューターで行われた操作や、ハードディスク上のデジタルデータの復元を行います。

■モバイルデバイスフォレンジック

スマートフォンなどのモバイルデバイスに保存された情報を解析する技術です。コンピューターフォレンジックと同様に、犯罪に使われた電子機器の解析を行い、証拠を保全します。通話履歴やアクセスログ、そしてアプリケーションの使用履歴など、様々な情報を収集し捜査に活用します。

■ネットワークフォレンジック

ネットワーク機器を解析することで、ネットワーク上を流れるパケットがどのような経路を使い、どの機器を通過したかなどの情報を解析する技術です。不正アクセスや機密情報の漏えいなど情報セキュリティに関する調査において、不審な端末の特定に活用されます。

デジタルフォレンジック調査の手順

続いて、デジタルフォレンジックの調査手順について、ご紹介します。デジタルフォレンジックは、一般的に以下の手順で実施されます。

証拠保全

インシデントが発生した場合、まずは、解析対象のコンピューターに記録されているデータを保全します。

証拠保全においては、インシデント発生時の状態を正確に記録することが重要です。特に、調査対象となる送受信されたメールのデータやログなどのデジタル証拠は、改ざんが行われないように管理することが重要です。

変換

保全されたデジタル証拠の多くは、暗号化されていたり、すでに削除されていたりすることがあります。その場合、解析できるデータにするために、データの復元・複合・変換などの対応を行います。

データ解析

保全されたデータや変換されたデータの解析を行います。何が、いつ、誰によって行われた操作であるかなどについて、解析用のツールを用いて徹底的に調査します。

報告

データ解析で得られた結果をもとに解析実施記録を作成し、証拠レポートを作成します。作成されたレポートは、法廷などに提出され、証拠能力を持つ文書となります。

デジタルフォレンジックに必要な知識とは？

ここで、デジタルフォレンジック調査を行ううえで必要不可欠な3つの知識について紹介します。

• コンピューターやネットワークの知識
• コンピューターセキュリティに関する知識
• 法的手続きに関する知識

以下では、具体的にどういった知識が求められるのかを説明します。

コンピューターやネットワークの知識

デジタルデータの保全や収集を行う時に求められるのが、コンピューターやネットワークの知識です。

例えば、コンピューターに設けられている各種のインターフェースやケーブルの種類、BIOSやハードディスクの知識、さらに最近ではクラウドコンピューティングやモバイルデバイスに関する知識も重要です。

コンピューターセキュリティに関する知識

デジタルフォレンジックを行う際には、情報セキュリティに関する幅広い知識も要求されます。

企業内のセキュリティを脅かす様々な攻撃手法に対する、防御方法や対処方法などに関する知識です。

法的手続きに関する知識

デジタルフォレンジックには、技術的な知識以外に、法的手続きに必要な法律の知識も重要です。

法的証拠としての価値の保全に関する知識は、必要不可欠です。

このように、デジタルフォレンジックには様々な知識が必要とされます。そのため、十分な知識を持たない人がデジタルフォレンジックを安易に行おうとすると、調査対象のデジタルデータの保全に失敗したり、あるいは証拠として利用できない状態にしてしまったりする可能性があります。

最近では、デジタルフォレンジックの普及に伴い、公的機関だけでなく民間企業の専門家が自社サービスとしてデジタルフォレンジックを行うケースも増えてきています。

そこで、デジタルフォレンジックの技術を習得すれば、高度なセキュリティ人材と認められ、デジタルフォレンジック業務に対応できるだけでなく、企業の不正調査などにも役に立てることができます。

デジタルフォレンジックの活用事例

デジタルフォレンジックを行うことで、不正アクセスや情報漏えいなどのハイテク犯罪の発生時に、誰が何をしていたのか明確にできます。

また、企業内部での不正行為の発生抑止力としても期待できます。内部犯行の証拠は企業内部のコンピューターに残されているケースが多く、デジタルフォレンジックの技術で復元できる可能性が高いためです。

さらに、デジタルフォレンジックは訴訟対策としても重要です。デジタルフォレンジックにより、削除されてしまった電磁的記録を復元したものは、裁判などで提出する証拠データとして使用できます。このようなデータが訴訟の明暗を分ける重要な資料となる可能性も高いです。

以下で、日本国内でのデジタルフォレンジックの具体的な活用事例について、いくつかの事例を紹介します。

フロッピーディスクの改ざん調査

法的証拠となったフロッピーディスクの更新履歴が、検察の内部で書き換えられたという事例です。

この事件では、デジタルフォレンジックによって、Windows（OS）により記録されるファイルの更新日付と、ファイル内部のアプリケーションにより記録された更新日付を照合して、更新日付の改ざんの証拠を突き止めました。

元従業員による情報漏洩疑惑の調査

企業内部を対象としたデジタルフォレンジックの事例です。

顧客から、顧客の情報と技術情報が競合他社に持ち込まれていると指摘されて内部調査を行ったところ、退職した元従業員による犯行であることが浮上しました。元従業員は、退職の意思を表明する数か月前から、顧客情報と技術情報に不正なアクセスを行っており、それらのデータがデジタルフォレンジックによって明らかになりました。

いじめの実態調査のためのチャットアプリのデータ復元

いじめの証拠をつかむためには、加害者と被害者のやり取りを押さえることが必要です。しかし、チャットでのやり取りは1つのサイトやアプリで行われるとは限らず、複数のツールにまたがることがあります。アプリごとのデータを復元するためには、高度な知識が必要になるため、専門家の技術が必要不可欠です。

この事件では、デジタルフォレンジックによって、LINEのトーク履歴やメッセージを復元し、加害者の特定のみならず、具体的な誹謗中傷の文面まで復元することができ、いじめの実態を解明できました。

セキュリティ対策に万全ということはありません。思わぬインシデントが発生した際に、スピーディーな対応をできるかどうかが、早期解決のために重要となります。

デジタルフォレンジックは非常に高度な技術を必要としますが、訴訟対策や内部不正の抑止力にもつながります。社内外のセキュリティに携わる方は、適切なデジタルフォレンジックを行うための知識を身に付けてみてはいかがでしょうか。