サイバー攻撃や内部不正による情報漏洩が発生した際、あなたは正しい対応ができるでしょうか？
「とりあえずサーバーを再起動しよう」「ウイルススキャンをかけなくては」――このような対応が、実は犯人の痕跡（証拠となるファイル）を完全に消去してしまう致命的なミスになることをご存知でしょうか。
私自身、2005年からのCIO時代に、社員が車上荒らしに遭って業務データの入ったノートPCを盗まれるという事案に直面したことがあります。盗まれたPC本体はもう調査できません。「中にどんなデータが入っていたのか」「盗難後に社内システムへ不正アクセスされていないか」を突き止める手がかりは、サーバー側のアクセスログや残された記録だけ。ところが当時は「証拠保全」という発想すら現場に浸透しておらず、その貴重な記録に何の手当てもしないまま調査を進めてしまいました。いま思えば冷や汗ものの対応でした。インシデント発生時にシステム担当者が最優先で行うべきは、原因究明でも復旧でもなく「証拠の保全」です。手順を1つ間違えれば、原因究明も法的対応も不可能になります。
この記事では、情報処理安全確保支援士（SC）試験の合格を目指す方に向けて、デジタルフォレンジックにおける証拠保全の具体的な手順を6ステップで解説します。HDD（ディスク）の保全からハッシュ値による完全性証明、Chain of Custody（証拠保管の連鎖）まで、実務でそのまま使える形で順を追って説明していきます。
証拠保全の全体像：フォレンジック調査の3プロセスと手順の位置づけ
具体的な手順に入る前に、証拠保全がフォレンジック調査全体のどこに位置するのかを整理しておきましょう。手順を丸暗記するのではなく「なぜその手順が必要か」を理解することが、SC試験でも実務でも応用力の差になります。
デジタルフォレンジックとは
デジタルフォレンジック（Digital Forensics）とは、コンピュータやネットワーク、モバイルデバイスなどの電磁的記録に対し、法的な証拠能力を持たせるために行う一連の調査・解析手法です。「フォレンジック（Forensic）」は「法廷の」「法医学の」を意味し、IT分野では「デジタル鑑識」とも呼ばれます。
単純にコピーしただけのログファイルやデータは、容易に編集できるため、証拠としての価値が認められない可能性があります。法的に有効な証拠とするには、「改ざんされていないこと（完全性）」と「正当な手続きで扱われたこと（正当性）」を担保する保全手順が不可欠なのです。
フォレンジック調査の3つのプロセス
フォレンジック調査は、以下の3つのプロセスで進行します。
- 収集・保全（Collection / Preservation）：対象データを特定し、変化・消失しないように確保する
- 検査・分析（Examination / Analysis）：保全されたデータを解析ツールで調査し、インシデントの痕跡を特定する
- 報告（Reporting）：調査結果をまとめ、技術的な詳細とともに報告書を作成する
本記事で手順化して解説するのは、失敗が許されない最重要フェーズである「収集・保全」です。ここで証拠を壊してしまうと、後続のどれだけ高度な解析も無意味になります。
学習の全体像＝進むべき道筋がひと目で分かる
〈セキュリティ学習メール〉
証拠保全の手順：HDD調査からハッシュ値照合までの6ステップ
ここからが本記事の核心です。インシデント端末を発見してから、法的証拠として通用するファイル群を確保するまでの流れを、実務の順序どおり6つのステップに分けて解説します。まずは全体像を俯瞰してください。
- ステップ1：揮発性の順序に従い、消えやすいデータ（メモリ等）から確保する
- ステップ2：証拠ディスクをライトブロッカー経由で接続する
- ステップ3：保全前にオリジナルディスクのハッシュ値を算出する
- ステップ4：ビットストリームコピーでディスクイメージ（証拠ファイル）を作成する
- ステップ5：作成したイメージのハッシュ値を算出し、オリジナルと一致を確認する
- ステップ6：Chain of Custody（証拠保管の連鎖）を記録し、施錠保管する
それぞれのステップを、その根拠となる技術理論とあわせて掘り下げていきます。
ステップ1：揮発性の順序（Order of Volatility）に従って収集する
インシデント発生直後、「とにかく全部保存しよう」と手当たり次第にコピーするのは間違いです。デジタルデータには「消えやすさ」に順序があり、これを守らなければ重要な証拠が永遠に失われます。この優先順位を「揮発性の順序（Order of Volatility）」と呼び、国際的なガイドラインであるRFC 3227に明記されています。
揮発性の高い順（優先度の高い順）＝RFC 3227の収集順序
- レジスタ・キャッシュ：CPU内部の最も高速かつ揮発性の高い領域（ナノ秒単位で変化）
- ルーティングテーブル、ARPキャッシュ、プロセステーブル、カーネル統計、メモリ（RAM）：現在実行中のプロセスやネットワーク接続状況（電源オフで即座に消滅）
- 一時ファイルシステム：システムの一時的なデータ領域
- ディスク（HDD/SSD）：電源オフでもデータは残るが、OS稼働中は常に書き込みが発生する
- リモートログ・監視データ：外部サーバーに転送された、当該システムに関連するログ
- 物理構成・ネットワークトポロジ：機器の物理的な配置や接続構成
- アーカイブメディア：バックアップテープやDVDなど（最も揮発性が低い）
つまり、いきなりHDDのファイルをコピーするのではなく、その前にメモリ上の情報を確保するのが正しい順序です。かつては「ウイルス感染が疑われたらすぐ電源を切る」のが常識でしたが、これはRAM上の証拠を完全に破壊する行為に等しく、現在は原則としてやってはいけません。
なぜ安易な電源オフが危険なのか。近年のファイルレスマルウェアは、ハードディスク上にファイルを残さずメモリ上だけで動作するものが存在します。電源を切った瞬間に、以下の証拠がすべて消え去ります。
- メモリ内に展開されたマルウェア本体
- 復号された通信内容
- 攻撃者が使用したパスワード
- 実行中だった不正プロセスの情報
そのため現在のインシデント対応では、状況が許す限り、稼働中のシステムから揮発性情報を取得する「ライブフォレンジック」が推奨されます。一方、すでに電源が切れている端末を後から調査する手法を「デッドフォレンジック」と呼びます。ライブフォレンジックは被害拡大防止とのトレードオフになるため、組織のポリシーや事案の深刻度に応じたトリアージ（優先度判断）が必要です。
ステップ2：証拠ディスクをライトブロッカー経由で接続する
揮発性情報を確保したら、次はHDD（ストレージ）の保全です。ここで絶対に守る鉄則は「オリジナルの媒体を直接使って解析しない」こと。証拠ディスクを調査用PCにそのまま接続してはいけません。
WindowsなどのOSは、ディスクを認識した瞬間に「自動マウント」「管理情報の書き込み」「タイムスタンプの更新」を自動的に行います。たった数バイトの書き込みでも「証拠が改変された」とみなされ、法廷での証拠能力を失う致命的な要因になります。
これを防ぐのが「ライトブロッカー（Write Blocker／書き込み防止装置）」です。証拠ディスクと調査用PCの間に物理的に接続するハードウェアデバイスで、次のように動作します。
- PCからディスクへの「読み取り（Read）」命令は通過させる
- 「書き込み（Write）」命令はすべて物理的に遮断する
これにより、証拠ディスクの状態を1ビットたりとも変更せず、安全にデータを吸い出せます。ソフトウェア的に書き込みを禁止する方法もありますが、確実性を期すためにはハードウェアの利用が強く推奨されます。
ステップ3：保全前にオリジナルのハッシュ値を算出する
イメージを作成する前に、まずオリジナルディスク（書き込み防止された状態）のハッシュ値を算出しておきます。これは後のステップ5で「複製が本当にオリジナルと同一か」を証明するための基準値になります。
ハッシュ値とは、任意の長さのデータから一定長の固定値を生成する一方向関数の出力で、データの「デジタル指紋」とも呼ばれます。次の3つの特性が、証拠の完全性証明に直結します。
- 一方向性：ハッシュ値から元のデータを復元することは計算上困難
- 衝突困難性：異なるデータから同じハッシュ値が生成される確率は極めて低い
- 雪崩効果：元データが1ビットでも変われば、ハッシュ値は全く異なる値になる
主なハッシュ関数の使い分けは以下のとおりです。証拠保全では衝突耐性の観点からSHA-256が標準です。
- MD5（128ビット）：高速だが衝突攻撃が実証されており、単独での証拠保全には非推奨
- SHA-1（160ビット）：MD5より強固だが、こちらも衝突攻撃が実証されており推奨されない
- SHA-256（256ビット）：現在標準的に推奨される方式
Linux環境では、たとえば次のように保全前のハッシュ値を記録します（/dev/sdXは証拠ディスクのデバイス名）。
sha256sum /dev/sdX > original_hash.txtステップ4：ビットストリームコピーでディスクイメージ（証拠ファイル）を作成する
いよいよディスクの複製です。ここで通常のファイルコピー（ドラッグ&ドロップやcpコマンド）を使ってはいけません。通常のコピーでは、次の重要な情報が失われるためです。
- ファイルの作成日時やアクセス日時などのメタデータが更新されてしまう
- 削除されたファイル（OS上からは見えないがディスク上に残るデータ）はコピーされない
- スラック領域（ファイルに割り当てられたが未使用の余剰領域）のデータが取得できない
これらは攻撃者の痕跡を追う上で極めて重要です。そこで用いるのが「ビットストリームコピー（ディスクイメージング）」です。ディスクの先頭セクタから最終セクタまで、0と1のビット列を丸ごと複製する手法で、削除済みファイルやスラック領域を含めた完全に同一の複製（＝1つの大きなイメージファイル）を作成できます。
主なツールは以下です。
- ddコマンド（Linuxの標準ツール）
- FTK Imager（イメージ取得とハッシュ計算を同時に行えるフォレンジック用ツール）
- EnCase（商用フォレンジックソフトウェア）
ddコマンドでイメージファイルを作成する場合の一例は次のとおりです。conv=noerror,syncは、読み取りエラーが発生してもゼロで埋めて処理を続行し、オフセットのずれを防ぐための指定です。
dd if=/dev/sdX of=/evidence/case001.dd bs=4M conv=noerror,syncステップ5：イメージのハッシュ値を照合し、同一性を証明する
複製が完成したら、「このコピーは本当に事件当時のオリジナルと同じか？」という問いに答えなければなりません。ステップ3で算出したオリジナルのハッシュ値と、作成したイメージファイルのハッシュ値を照合します。
sha256sum /evidence/case001.ddこの値がステップ3で記録したoriginal_hash.txtの値と完全に一致すれば、複製がオリジナルと1ビットの狂いもなく同一であること（完全性）を客観的に証明できます。調査報告書には、必ずこのハッシュ値を記載します。以降の解析は、このイメージファイルの複製（作業用コピー）に対して行い、オリジナルには二度と触れません。
証拠の完全性証明の標準手順（まとめ）
- 保全前のオリジナルディスクのハッシュ値を算出する（書き込み防止下で実施）
- ビットストリームコピーでディスクイメージを作成する
- 作成したディスクイメージのハッシュ値を算出する
- オリジナルと複製のハッシュ値が完全に一致することを確認する
ステップ6：Chain of Custody（証拠保管の連鎖）を記録する
技術的な完全性だけでは、証拠として不十分です。物理的・手続き的な管理の正当性を証明する文書が「Chain of Custody（CoC）」です。日本語では「証拠保管の連鎖」「管理の連鎖」などと訳されます。
CoCに記録すべき情報
- 証拠の入手日時と場所
- 収集者（誰が）
- 収集方法（どのようなツールや手順で）
- 保管場所（施錠された保管庫など）
- 移送履歴（誰から誰へ渡されたか）
- アクセス記録（誰が調査のために取り出したか）
この記録が途切れたり、不明瞭な期間があったりすると、「その間に誰かがデータをすり替えたのではないか？」という疑いを晴らせず、証拠能力が否定される可能性があります。技術的な解析スキルと同じくらい、この管理手続きがフォレンジックでは重要視されます。以上の6ステップを踏んで初めて、法廷で通用する証拠が完成します。
保全したファイルから攻撃者を追う：MAC時間とタイムライン解析
保全が完了したら、次は解析フェーズです。攻撃者の行動を時系列で再構成するために重要なのが、各ファイルに記録されたタイムスタンプの分析です。ファイルシステムには、各ファイルに対して主に3種類（または4種類）の時刻情報が記録されており、これを「MAC時間」と呼びます。「フォレンジック 証拠 ファイル」を語るうえで避けて通れない論点です。
MAC時間の内訳と意味
M（Modified）：最終更新日時――ファイルの内容（データそのもの）が変更された日時。攻撃者がマルウェアを編集したり設定ファイルを書き換えたりした痕跡を示します。
A（Accessed）：最終アクセス日時――ファイルが開かれたり読み込まれたりした日時。ただしWindowsでは、パフォーマンス向上のためこの更新が既定で無効化されている場合があります。
C（Created / Changed）：作成日時または変更日時――ファイルシステムによって意味が異なります。
- Windows（NTFS）：「Created」はファイル作成日時を指す
- UNIX/Linux系：「Change」はiノード情報（権限や所有者など）の変更日時を指し、古いファイルシステムでは作成日時（Birth time）が記録されないことがある
攻撃者の痕跡を読み解く実践テクニック
タイムスタンプ偽装（Time Stomping）の検出――攻撃者は発覚を遅らせるため、ツールを使ってファイルのタイムスタンプを偽装することがあります。しかしNTFSには、通常のタイムスタンプ（$STANDARD_INFORMATION）とは別に、ファイル名属性（$FILE_NAME）にもタイムスタンプが保持されています。攻撃者が表面的なタイムスタンプだけを書き換えた場合、この内部的なタイムスタンプとの間に矛盾が生じ、この不一致を検出することで偽装工作を暴けます。
コピーされたファイルの特定――ある実行ファイルの「作成日時」が「更新日時」よりも新しい（未来である）場合、それは別の場所からコピーされてきたファイルであることを示唆します。コピー時に作成日時は現在時刻になる一方、更新日時は元のファイルのまま維持されることが多いためです。複数の時刻情報の整合性を突き合わせることで、攻撃者の行動やファイルの来歴を浮かび上がらせるのがタイムライン解析です。
ディスク以外の証拠：ネットワークとメモリのフォレンジック
証拠はディスク（エンドポイント）だけではありません。ネットワーク上の通信記録や、メモリ上にしか存在しない情報も重要な証拠になります。手順の応用として押さえておきましょう。
ネットワークフォレンジック：フルパケットキャプチャとフローデータ
ネットワークの証拠保全には、大きく2つのアプローチがあります。
1. フルパケットキャプチャ――通信の中身（ペイロード）を含むすべてのパケットを記録します。攻撃者が送信したメール内容の復元や、ダウンロードさせたマルウェア本体の抽出が可能ですが、膨大なストレージ容量を必要とし、全通信の長期保存は現実的ではありません。
2. フローデータ（NetFlow／IPFIX）――「送信元・宛先・ポート・プロトコル・通信量・時刻」などのメタデータのみを記録します。中身は見えませんが、少ないストレージで長期間蓄積でき、攻撃者がどの外部サーバー（C2サーバー）と通信していたかの全体像把握に有効です。
暗号化通信時代の課題――現代の通信の大半はTLSで暗号化されているため、単にパケットをキャプチャしただけでは内容を解読できません。対抗手段として、企業ネットワークの出入り口に設置したプロキシで一度復号してログを取得する方法（SSL可視化）や、PC側のメモリ上に残る復号済みデータをライブフォレンジックで取得する方法（メモリフォレンジック）を併用します。
メモリフォレンジック：ファイルレスマルウェアへの対抗
ディスクに痕跡を残さないファイルレスマルウェアは、PowerShellやWMI（Windows Management Instrumentation）などの正規ツールを悪用し、メモリ上でのみ不正なコードを実行します。ステップ1で確保したメモリダンプ（RAMの内容を書き出したファイル）を解析することで、次のような情報を抽出できます。
- 隠蔽されたプロセス
- ロードされたDLL（動的リンクライブラリ）
- 開かれているネットワーク接続
- メモリ内に残存するコマンドライン履歴
- 暗号化前の平文データ
主な解析ツールには、オープンソースのVolatility Frameworkや、FireEye（現Trellix）が公開していたRedlineなどがあります。従来のディスクフォレンジックでは発見できなかった痕跡を、メモリから抽出できる点が強みです。
アンチフォレンジックとアーティファクト
攻撃者もまた、調査を妨害する技術（アンチフォレンジック）を進化させています。代表的なものが、ランダムなデータで何度も上書きして復元を不可能にするデータ消去（Wiping／ワイピング）、時刻情報を改ざんするタイムスタンプ偽装（Time Stomping）、データを暗号化して解析を困難にする暗号化・難読化です。
これらに対抗するには、わずかに残る断片的な痕跡（アーティファクト）を繋ぎ合わせます。Windowsであれば、ジャーナルログ（UsnJrnl）から削除の履歴を、プリフェッチファイル（Prefetch）やシムキャッシュ（ShimCache）から削除済みプログラムの実行履歴を復元できる可能性があります。
クラウド時代の証拠保全と法的観点
システムがオンプレミスからクラウドへ移行するにつれ、物理HDDを回収する前提の手順が使えないケースが増えています。手順の「型」を、クラウドと法制度の観点からアップデートしておきましょう。
クラウドフォレンジックの特殊性
クラウド環境では、物理的なハードウェアを直接回収できず、仮想リソースは動的に生成・削除され、マルチテナント環境で他社データと物理的に混在します。そのため、クラウド事業者が提供する機能やAPIを活用した保全が必要になります。
スナップショットの活用：仮想マシンのディスクボリュームのスナップショット（瞬間のバックアップ）を取得し、解析用インスタンスにアタッチして調査します。これは物理環境における「ディスクイメージング」に相当します。
責任共有モデルの理解：クラウドではセキュリティ責任が事業者と利用者で分担されます。SaaSの場合、利用者が取得できるログには制限があります。どこまでが事業者の責任で、どこからが利用者が保全すべき範囲なのかを、事前に契約や仕様で確認しておくことが重要です。
ログの消失リスク対策：コンテナやオートスケーリングでサーバーが短期間に生成・破棄される環境では、ログを外部ストレージやSIEM（Security Information and Event Management）へリアルタイム転送していなければ、インシデント時にはサーバー自体が存在せず調査不能になります。
e-Discovery（電子証拠開示）への対応
グローバル展開する企業では、海外訴訟において「e-Discovery（電子証拠開示）」制度への対応が求められることがあります。これは訴訟に関連するすべての電子データを、定められた期間内に適切な形式で開示することを義務付ける制度で、特に米国の民事訴訟で厳格に運用されています。
不適切なフォレンジック手順でデータが改変・消去された場合、証拠隠滅とみなされて不利な判決が下される、懲罰的な損害賠償が課されるなど、厳しい制裁を受ける可能性があります。フォレンジックは単なる技術的トラブルシューティングではなく、企業のコンプライアンスと存続に関わる経営課題だと認識すべきです。
SC試験での出題パターンと対策
情報処理安全確保支援士試験では、デジタルフォレンジックは午前IIの用語問題としても、午後のインシデント対応シナリオの一部としても繰り返し出題されています。得点源にするための頻出ポイントを整理します。
午前IIで狙われる用語
午前IIでは、次の用語の定義や目的をストレートに問う4択が定番です。
- ディジタルフォレンジックスの定義（証拠の保全・分析・報告の一連の手続き）
- ハッシュ値による完全性の確保（改ざん検知の仕組み）
- Chain of Custody（証拠保管の連鎖）の目的
- 証拠保全における書き込み防止（ライトブロッカー）の役割
なお、IPAの試験では「デジタル」ではなく「ディジタルフォレンジックス」という表記が使われる点も、選択肢を読むうえで頭の隅に置いておきましょう。
定番のひっかけポイント
午後試験では、記述の「向き」や「順序」を入れ替えたひっかけが頻出です。特に次の3点は、新卒エンジニアの研修でも取り違えが多かった箇所です。
- 収集順序の逆転：揮発性の高いメモリより先にディスクを保全する、という誤った手順を正しいものとして混ぜてくる
- 完全性と機密性の混同：ハッシュ値が担保するのは「完全性（改ざんされていないこと）」であって「機密性（秘匿）」ではない
- 正当性の軽視：技術的に完璧なコピーを作っても、Chain of Custodyが途切れれば証拠能力は否定され得る
【演習】デジタルフォレンジック証拠保全 理解度チェック（全10問）
証拠保全は、午前IIでは用語・目的を問う4択、午後ではインシデント対応シナリオの中で「次に取るべき手順」を選ばせる形で出題されます。定番のひっかけは、収集順序の逆転（メモリよりディスクを先に保全させる）、完全性と機密性の混同、そして技術的完全性ばかりに気を取られてChain of Custody（正当性）を落とすパターンです。以下の練習問題で本記事の理解度を確認してみましょう。
まとめ：フォレンジックは「準備」が9割
デジタルフォレンジックの証拠保全手順を、6ステップに分けて解説してきました。重要ポイントを振り返ります。
- ステップ1：揮発性の順序（RFC 3227）を厳守し、消えやすいメモリから確保する。安易な電源オフはメモリ上の証拠を破壊する
- ステップ2：証拠ディスクはライトブロッカー経由で接続し、書き込みを物理的に遮断する
- ステップ3〜5：ビットストリームコピーで複製し、保全前後のハッシュ値（SHA-256）の一致で完全性を証明する
- ステップ6：Chain of Custodyで正当性（手続きの連続性）を担保する
- 解析フェーズではMAC時間の矛盾から攻撃者の痕跡や偽装工作を見抜く
- クラウド環境では、事前のログ設計（外部転送・SIEM）が保全の成否を決める
最も重要なのは、「インシデントが起きてからでは遅い」ということです。適切なログ設定がなければ解析はできず、ツールがなければ保全に時間がかかって被害が拡大します。私がCIOだった当時、盗難PCの事案で痛感したのも、まさに「平時の準備の差」でした。ログ取得ポリシーの見直し、インシデント対応計画の策定、ツールと手順の事前準備――フォレンジックの成否は、発生前の「準備」で9割が決まると言っても過言ではありません。
これらの知識は、情報処理安全確保支援士試験の合格に必要であるだけでなく、実務で「何を守り、どう動くべきか」を判断する羅針盤になります。焦りの中でも「正しい手順」を踏めるかどうかが、その後の結末を大きく左右します。
本記事は情報処理安全確保支援士（SC）試験対策を目的として作成しています。
参考資料
- RFC 3227: Guidelines for Evidence Collection and Archiving（IETF）
- 情報処理推進機構（IPA）セキュリティ関連情報
- 特定非営利活動法人 デジタル・フォレンジック研究会（IDF）
学習の全体像＝進むべき道筋がひと目で分かる
〈セキュリティ学習メール〉