(57)【要約】【課題】証拠性保持の証明が可能な方法で不正行為者の特定が効率的に実施でき、その特定の信頼性が人的要素に影響され難いデジタル・フォレンジックの提供。【解決手段】ネットワーク・フォレンジック１２の段階で常時監視１を行い、予め定められた条件でフィルター２をかけて異常を検出する。異常４があったならば、その異常に対してログ分析５を行い、異常の概要と対象端末を絞り込む。ネットワーク・フォレンジック１２による絞り込みの結果である調査対象端末６を得て、コンピュータ・フォレンジック１３の段階に移行し、絞り込まれた端末の証拠保全７をまず行ない、証拠保全したデータに対して解析８を実施する。解析８においては、ログ分析結果５を参考にして調査優先順位を決めて、調査を効率よく進める。解析８より得た事実の証拠レポート９が最終的に作成される。【選択図】      図１
2006178521.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク・フォレンジックとコンピュータ・フォレンジックとを有機的に結合したデジタル・フォレンジックの方法。
【請求項２】
前記ネットワーク・フォレンジックでは、多数の端末からなるコンピュータネットワークを常時監視し、該コンピュータネットワークの何れかの端末又は端末群に関するログ又はデータと予め定めた条件との比較により、該ログ又はデータにおける異常の有無の判定をし、該判定において異常とされたログ又は異常とされたデータのログの分析をし、該分析に基づき調査対象の端末又は端末群の選別を実施し、
前記コンピュータ・フォレンジックでは、前記選別された端末又は端末群に関するログ又はデータの証拠保全を行い、該証拠保全がされた該ログ又はデータの解析を行い、該解析に基づき前記コンピュータネットワークにおける不正行為者の特定がされたときは、その不正行為者及び不正行為の内容を報告する
ことを特徴とする請求項１に記載のデジタル・フォレンジックの方法。
【請求項３】
前記ログ分析の結果を参考にして調査優先順位を決めて前記解析を行うことを特徴とする請求項２に記載のデジタル・フォレンジックの方法。
【請求項４】
前記ログ分析よりE-mailに関する異常が検出されたときは、前記解析ではE-mail分析を実施し、前記ログ分析よりキーワードに関する異常が検知されたときは、前記解析ではキーワード検索を実施し、前記ログ分析より機密情報に関する異常が検知されたときは、前記解析では機密情報に関するアプリケーション又はキーワードに関する重点検索を実施することを特徴とする請求項３に記載のデジタル・フォレンジックの方法。
【請求項５】
前記請求項１乃至４の方法によりコンピュータシステムにおける内部犯罪の抑止又は捜査の促進を図るフォレンジックＩＴセキュリティシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、企業や官公庁といった組織体における情報漏えい等のデータの不正使用を抑止するとともに、事故の際の早期の適切な対応を可能とするセキュリティシステムに関し、特にIT技術とフォレンジック技術と協働させたフォレンジックＩＴセキュリティシステムの提供に関する。
【背景技術】
【０００２】
［デジタル犯罪の現況］
高度情報化社会においては発生する全ての犯罪には何らかの形でデジタル機器が関与しているといっても過言ではない。そのため、警察、検察、裁判所等の法執行機関では、パソコンなどのデジタル機器は指紋と同様に優先的に取得すべき重要な証拠として位置づけされている。今やデジタル機器が関与している犯罪はハッカーによるものだけでなく、さほどITの知識を有しない人々によるものにまで広がっていった。そのような中、高度な技術を用いて、証拠性を維持しつつ、ハイテク機器のデータの取得及び解析を行い、法的問題を解決する手段であるデジタル・フォレンジックは情報セキュリティの世界でにわかに脚光を浴びてきた。
【０００３】
以下においては、デジタル・フォレンジック技術とその技術によって発展してきたフォレンジック・ツールが情報化社会の法的問題を解決するうえでいかに重要であるかをまず説明する。また、昨今問題とされている内部者による情報漏えい犯罪の予防および容疑者の特定におけるデジタル・フォレンジックの活用法、」及びそれを発展させてきた米国の状況を併せて述べ、本発明のフォレンジックＩＴセキュリティシステムの背景技術としてデジタル・フォレンジック技術を説明する。
【０００４】
［多発する内部犯罪と従来のITセキュリティの問題点］
情報化社会の発達による一人1台パソコン時代の到来は、全ての犯罪は何らかの形でデジタル機器が関与しているといった状況をもたらした。そのため、警察、検察、裁判所等の法執行機関ではパソコンはデジタル・フィンガー・プリントと呼ばれ、指紋と同様に優先的に取得すべき重要な証拠として認識されるようになった。
【０００５】
また、昨今では企業の情報漏えい事件がしばしば報道される。それらのほとんどの事件は外部からの侵入によるものではなく、内部からの仕業による事例であり、我国にもようやく内部犯罪への対策を本格的に行わなければならないという気運がでてきた。外部から侵入する犯罪者と比較して、内部者は企業の持つ顧客データ、技術情報、財務情報、製品のコスト情報などの重要機密情報を容易に持ち出し得るので、内部犯罪による被害額は外部からの侵入犯によるものに比較してはるかに大きなものとなる。しかも内部犯罪は、単純に損害額の大きさの問題だけではなく、企業そのものの信頼が問われるような重大な問題に発展するという特徴も持っている。
【０００６】
現在の主流の情報セキュリティは、侵入防止、侵入検知、漏洩防止、漏洩検知等のように防御に主眼を置いたものである。このような外部からの脅威に対するコンピュータシステムの防護技術は、例えば「ネットワーク侵入検知システムおよびその方法」と題して特許文献１に開示されている。他方、内部犯罪の抑制に寄与し得る技術として、ログを自動的に取得し、保存する技術が発達した。ログは、端末（PCなど）の利用状況やデータ通信の記録を取ること、及びその記録と定義される。ログには、端末の操作や端末からデータの送受信が行われた日時や送受信されたデータの中身などが記録されている。したがって、ログにより、どの端末がいつどのようにサーバーに侵入したかを容易に調査できるので、侵入端末の調査が容易にできる。とはいえ、内部犯罪による情報漏えい等の脅威がなくなることはなく、減少する傾向も見られない。このことは、従来の手法が端末と犯人とを結びつけ、犯人を特定する能力において不十分であので、犯罪抑止力において非力であることを意味している。
【０００７】
［デジタル・フォレンジックの登場］
端末となる機器を誰が使用したかを特定することを可能にする手法がデジタル・フォレンジックである。フォレンジックという言葉はあまりなじみがなく、その言葉の意味に関してしばしば話題になる。しかしながら、日本においてもフォレンジックとほぼ同義の法科学、犯罪科学、科学捜査などという言葉は、実は以前から使われていた。
【０００８】
米国の法執行機関においては、デジタル機器に対する捜査能力向上が最重要課題であると位置づけし、1990年代後半よりハイテク犯罪捜査部隊が設立されるようになった。そこで確立された手法が現在のデジタル・フォレンジックに大きな影響を与えている。デジタル・フォレンジックの技術は、法廷において証拠としての条件を備えていなければならず、単なる技術的なデジタル・データ調査手法（データサルベージング等）だけでは不十分である。デジタル・フォレンジックで取得したデータは法的証拠能力を保持しなければならず、その法的証拠能力は法廷にて証明されなければならない。まさにフォレンジックは法科学と訳されている言葉そのままの要素を必要としている。
【０００９】
［デジタル・フォレンジック技術］
《デジタル・データの特殊性》
デジタル・データを調査し、証拠化するにはさまざまな障壁がたちはだかっている。調査をするためにはデータが格納されているデジタル機器にアクセスしなければならないが、安易にアクセスすればせっかくの証拠を失うことになる可能性が高い。デジタル・データの特徴は揮発性が高く、簡単に改ざんできるということである。
【００１０】
例えば、証拠データが保存されているであろうPC（パーソナルコンピュータ）を不用意に操作すると、証拠となるデータが消去されるようなトラップ（罠）が犯人の故意により仕掛けられていることもある。またWindows（登録商標）にはPCの電源をいれるような普通の操作だけでタイムスタンプを変更する機能もあり、故意か否かに関係なく、安易にデータにアクセスすることは証拠性を消失させる危険性を伴う。証拠データの消失はもとより、捜査開始後のタイムスタンプの変更は、捜査側による何らかの情報操作が行なわれているとみなされ、法的証拠能力を失うから、デジタル・フォレンジックでは非常に繊細な作業が必要となる。安易にデータにアクセスすることは、容疑者の指紋がついている物体に素手で捜査官が触れるようなことと同等であるとみなされる。図７は起動前後のタイムスタンプ更新状況を示す図である。
【００１１】
また、データの解析を行なう段階でも同様にさまざまな障壁が存在する。例えば、HDD（ハードディスク・ドライブ）のデータを実際に解析する場合、その膨大なデータ量が障壁として立ちはだかる。もし、15GBのデータを紙で印刷すればその量はエンパイアステートビルディングと同等の高さまで積み上げられる。ファイル数で考えると、数万から数十万ファイルの数になる。それだけではなく、証拠となるデータが消去されている場合や、調査しようとするファイルにパスワードがかけられているという障壁もある。このように膨大かつアクセスが困難なデータを短時間に効率的に調査ができなければ法的問題を解決する証拠は得ることができない。
【００１２】
そしてさまざまな障壁を乗り越え、証拠を取得し、解析した結果は最終的に法廷で認められなければならない。判事や相手方弁護士、将来的には裁判員に、証拠の有効性を認めさせる手法も重要である。それはフォレンジックの法的問題解決という目的ため、通常ITの世界で行なわれるデータサルベージングのような作業との大きな相違点であると言える。
【００１３】
《デジタル・フォレンジックの工程》
デジタル・フォレンジックは、証拠保全、解析および報告（法廷プレゼンテーション）という３つの工程に分けられる。
【００１４】
《証拠保全》
デジタル・データは、揮発性が非常に高く、時間の経過とともに消失、改ざんの可能性が高くなる傾向をもつ。また安易な証拠データへのアクセスも同様に改ざん、消失の可能性を高くする。そこで、証拠となるデータは短時間に確保する必要がある。証拠保全とは、法的適合性を維持しつつ、証拠データを確保する作業である。具体的には保全対象のPCのHDD(Target Drive：  以下TDという。)  に保存されているデータを別に用意した証拠用HDD（Evidence
Drive：  以下 EDという。）に複製を行なう。TDのデータとEDのデータの同一性を確保すること及びその同一性の証明を可能にすることの２つが、その複製における重要な留意事項である。
【００１５】
Windows 等の汎用OSが起動している状態におけるデータ確保は、タイムスタンプを変更したり、不正行為者のトラップを作動させたりする危険性がある。そこで、同一性を確保するためには、複製は汎用OSを起動させない状態で行なう必要がある。PC に既にインストールされているWindows
等の汎用OSを起動させないで行なう複製の具体例としては、PCでのHDDをPCから外して行う複製、あるいはデジタル・フォレンジック専用の特殊なOSを用いてPCを起動させ、その状態で行なう複製（この場合、TDはPC内に接続された状態でも改ざんはされない。）がある。図８はHDDから直接複製する方法を示す図であり、図９は特別なOSを起動してUSB/FireWireを通じてPCからHDDのデータを複製する方法を示す図である。
【００１６】
表面的にはデータが格納されていない領域に、容疑者が故意にデータを隠蔽していたり、その領域に消去されたデータ等が存在している可能性がある。すなわち、表面的にデータが格納されていない領域に証拠となる重要データが隠されている可能性は高い。そこで、証拠保全における複製は必ず物理的複製（物理コピー）が必要となる。物理的複製とは、データが格納されている部分だけの複製ではなく、HDDの全領域に対してセクター毎に行なう複製である。図１０は、物理コピーの重要性を説明する図である。
【００１７】
証拠保全の過程では、まず複製先となるHDD(ED)の残留データを完全に消去する。消去方式としては、DoD
Wipeと呼ばれる米国国防総省準拠の方式が通常採用される。DoD Wipe方式によりHDD(ED)の残留データを消去し、消去済みHDDに物理コピーをすることにより、100％同一の複製(ED)を作ることができる。この複製(ED)では、残留データによる複製データの汚染は防止できる。解析等において、EDに対し直接のアクセスを行うことは避けなければならない。解析などのためのアクセスは、EDをさらに複製したHDDに対して行なう。図１１は、証拠保全の工程を説明する図である。証拠保全の実施要領を以下に示す。
【００１８】
証拠保全の作業においては、特に高い保全環境を提供するフォレンジック・ツールが必要とされる。フォレンジック・ツールには、ソフトウェアベースのものとハードウェアベースのものが存在する。ソフトウェアベースのフォレンジック・ツールは作業時にはソフトウェアを駆動するためのPCやケーブルさらには書込み防止装置などの機器を新たに用意しなければならない。また、用意したPCには、フォレンジック以外のアプリケーションなども存在し、データ汚染の可能性も否定できない。それに比較してハードウェアベースのフォレンジック・ツールは、そのツールだけで証拠保全が可能であるため、非常に高い保全環境を得ることができる。また、複製時の転送速度もソフトウェアベースのフォレンジック・ツールに比較して、ハードウェアベースのフォレンジック・ツールは圧倒的に高速で、短時間で作業を終わらせる必要がある、保全現場において非常に有効である。そこで、証拠保全作業用ツールとしては、ハードウェアベースのフォレンジック・ツールが標準とみなされている（非特許文献１）。
【００１９】
《解析》
証拠保全により得たEDを直接に解析すれば、解析の過程でEDのデータを誤って破壊する恐れがある。そこで、EDを更に解析用のHDDに複製し、解析はその解析用HDDに対し行なう。
【００２０】
解析においては、まず、証拠保全により取得し、解析用HDDに記録したデータを解析専用変換ソフトウェアで解析用データに変換する。解析用データは、解析用HDDに記録したデータのファイルからファイル形式を変換した解析用ファイル形式のデータである。解析は、その解析用データを解析ソフトウェアで処理することにより行なう。解析用データについて解析を行なうことにより、パーティションを切っている場合や、消去されたデータあるいは、レジストリ保護領域へのアクセス等、通常Windows上で制限がかかっている作業が可能となる。図１２は、レジストリ保護領域の調査を説明する図である。
【００２１】
解析ソフトウェアによる解析にはパスワードの解析も含まれる。パスワード解析では、容疑者が使用する可能性のある語句を予め決めておいて、その語句から探し出す辞書による解析や、総当り解析を行なう。ただし、総当り攻撃による解析では、パスワードがランダムかつ桁数が大きいときは、パスワードの解析は物理的に不可能となる。他方、ランダムかつ桁数の大きなパスワードは人間が記憶できないため、どこかにメモが残されている場合が多いので、そのメモを探すことのほうが有効であるといえる。そこで、解析ソフトウェアによる総当り解析の優先順位は、フォレンジック作業の中では低い。図１３は、パスワード解析用フォレンジック・ツールにおける画面表示の例を示す図である。
【００２２】
解析は、大容量のデータについても短時間に行なう必要があるので、検索手法にはさまざまな工夫がなされている。図１４は、データベース再構築方式の解析ソフトウェアの例を示す概念図である。
【００２３】
《証拠性保持の証明》
デジタル・フォレンジックの全ての工程において常に留意すべきは、データの同一性の証明と保管の継続性の証明である。全ての作業時、コピー時にハッシュ関数を使用したハッシュ値を示すことによって同一性を証明し、全ての作業のログをとり、フォレンジック作業時に誰が、いつ、どのデータに対して、どのように、何が行なわれていたかを記録しておく。また、各々のデータ汚染を防ぐために書き込み防止装置も必要になる。    
【００２４】
《法廷プレゼンテーション》
フォレンジックは法的問題を解決する手段であるため、完全な証拠保全および解析を行なって得た資料も法廷において証拠として認められなければ意味をなさない。裁判関係者のなかにはITに詳しくない人もいるので、そのような人も証拠保全および解析の完全性を納得できるように、証拠保全および解析の各工程を説明しなければならない。そのため、誰にでも理解できるようなプレゼンテーション技術が必要になる。プレゼンテーションの内容として必要なことは、証拠となるデータを取得するまでの状況を再現し、そのデータが容疑を裏付ける証拠であることを証明することである。プレゼンテーションの具体的手法の例としては、ビデオを使用したり、フォレンジック・ツールを使用してその場でデータリカバリーを再現するようなことが挙げられる。
【００２５】
［フォレンジック・ツール］
《フォレンジック・ツールに要求される能力》
デジタル・データの特性を考慮し、法的問題を解決するための作業を高速かつ確実に行うためには、フォレンジック・ツールの活用が必須である。フォレンジック・ツールに求められる最も重要な性能は次の２つである。
Ａ．得られたデータが法的証拠能力を保持している。
Ｂ．調査結果の内容および証拠性において、調査に携わった人の要素に依存する度合いが低い。
【００２６】
さらに、フォレンジック・ツールが上記性能を満たすためには、フォレンジックの実行過程において以下の条件を満たすことが必要となる。
a. 外的要因の影響を受けない。
b. データを汚染させない。
c. 複製が100％のミラーイメージ（物理的複製）である。
d. 保管の継続性
【００２７】
《商用フォレンジック・ツールの重要性》
フォレンジック・ツールには商用ツールとフリーツールが存在している。わが国ではフォレンジック・ツールとしてフリーツールに関する紹介がよく行なわれ、かつ欧米のような商用フォレンジック・ツールを展示したカンファレンスがないため、商用ツールより、フリーツールの方が比較的良く知られている。そこで、ここでは法的問題解決という観点から商用ツールの重要性を説明する。
【００２８】
フォレンジック・ツールを使用して得られた結果は、どの調査者が行なってもほぼ同様の結果が得られなければならない。結果が違うということは、調査者によって不正行為者を特定できるか否かの差が生まれるということであり、証拠性における欠陥を意味する。また、法的問題解決のためにはこれまで行なってきたフォレンジック作業の正当性を法廷で証明する必要があり、調査者だけでは対処が困難な場合もある。
【００２９】
調査結果の調査実施者依存性を軽減するためには、フォレンジック・ツールに関し以下の点の留意が必要である。
（１）ツールから得られた結果に対する技術的バックアップ
（２）バージョン等の管理
（３）必要ツール及びオプション等の管理
（４）使用方法、マニュアルなどの整備、バージョン管理
【００３０】
商用ツールはこれらの条件を備えかつ技術的性能を保証しているので、法的問題を解決するためのツールとして適しているといえる。米国におけるフォレンジック・エキスパートと呼ばれるフォレンジック作業を専門にしている人たちは、商用ツールだけでなく、フリーツールを使用しており、商用ツールとフリーツールのいずれが優れているのかを語ることはできない。ただし、これだけデジタル機器が普及し、デジタル・データに関わる訴訟問題が多くなってくると、フォレンジックができる調査者も多く必要になる。しかしながら、全ての人たちがフォレンジック・エキスパートと同じ結果が出せるようにするには、商用ツールのサポートが必要になるのも事実である。
【００３１】
［欧米の状況から考察するフォレンジックの活用］
《デジタル・フォレンジックの活用》
IT技術の発達はデジタル機器を普及させ、ハイテク犯罪ではない従来型の犯罪においても、PCなどのデジタル機器は調査対象となった。さらに、企業における内部犯罪の抑止および不正発覚後の初期対応等の必要性の急速な増加により、全ての事象を法執行機関に頼ることは事実上不可能となった。特にまだ事件性がない状態での調査や、抑止のための内部監査は企業や官公庁といった組織体自身が実施する以外に選択の余地はない。結果として、組織体によるデジタル・フォレンジックを利用したセキュリティ・システム（以下：フォレンジック・セキュリティ・システム）の導入の要求が高まった。
【００３２】
フォレンジック・セキュリティ・システムの導入により、起訴すべきか否かを組織体の内部で調査し、その結果を持って警察への通報を行なうことが可能となる。米国では政府から企業に対し、自身でフォレンジックを行なう指導をしている。組織内で、重要データにアクセスする権限のある者や部署移動・転勤・退職者、何らかの不安を持つ者に対が定期的に使用している端末に関し、フォレンジック調査（監査又は監視と称されることもある）を行ことは、事件の未然防止のために有効である。また、事件発生前の普段の定期的調査によるデータの蓄積は、事件発生後における事件の早期解決を容易にする。事件発覚後の早期の情報提供および事件の解決は、企業の信頼性を失う危険性を回避するのに非常に有益である。
【００３３】
その上、このようにフォレンジックは、事後対応という意味でのインシデント・レスポンスだけではなく、また事前の監査によって事後対応を迅速に行なえるように準備をしておくだけでもなく、普段の監査そのものが抑止力としての役割を果たす。以下に、時系列的にフォレンジックの役割を示す。インシデント（事件）前の段階では定期監査としてフォレンジックが行なわれ、その中では証拠保全、解析、報告というフォレンジックの３つ工程が全て行なわれる。
【００３４】
インシデント発生後においては、インシデント・レスポンスと呼ばれる証拠保全およびシステム復旧がインシデント直後のフォレンジックとしてまず行なわれる。その後のフォレンジックでは、保全した証拠を利用したインシデントの解析およびその解析の結果の報告、さらに必要に応じて法廷プレゼンテーションが行なわれる。このようなフォレンジックにより、当該インシデントに関連する法的問題が解決される（非特許文献２）。以上に述べたフォレンジックの工程に見られるように、フォレンジックはITセキュリティのなかで日常的に行なわれるべきものであることがわかる。図１５は、デジタル・フォレンジックにおける時系列的工程を示す図である。
【００３５】
《フォレンジック専門家の不足》
現在では企業も官公庁もすべてのシステムのIT化を進めている。企業間で行なわれる全ての法的問題解決作業には、デジタル・データが関わっていないものはないといっても過言ではない。そのため、これらの問題を解決するために、米国では法務関係者や企業弁護団にはフォレンジック・エキスパートと呼ばれる専門家を配置しておくことを推奨している。しかしながら、デジタル・フォレンジック先進国である米国でさえもその専門家の数や資質が必ずしも満足できるものではなく、どのように確保し、専門家を評価して採用するかが重要であると提唱している（非特許文献３）。ITの普及度合いから考えるとわが国が全く同じ状況にあることは疑い得るものではなく、フォレンジック専門家の不足を補う方策が課題となっている。
【００３６】
《フォレンジック・ラボ》
フォレンジック活動では、現場で可能な作業は限られているため、実際にはその作業の多くはフォレンジック・ラボと呼ばれるフォレンジック専用の施設で行なわれる。フォレンジック・ラボは、ハイテク犯罪捜査活動の支援の他、研究・実験等のさまざまな活動を行なう中心施設となっている。そこでは、フォレンジック活動で得られるデータの証拠性を維持できる完全な排他的環境が必要になる。
【００３７】
フォレンジック・ラボの構成は証拠保全室、解析室、オーディオ解析室、プレゼンテーション作成支援室、ホストコンピュータールーム、証拠HDD及びフォレンジック・レポートDVD保管室などの部屋で構成されている。フォレンジック・ラボ全体は外部へのネットワークには一切&#32363;がっておらず、電磁波漏洩による情報漏えいも防止されている。また、外部との隔離だけでなく、ラボ内で取り扱われる証拠データが相互汚染しないように工夫されている。
【００３８】
《国際標準化が不可欠なデジタル・データの取り扱い》
インターネットの普及により、世界中がネットワークで結ばれると、デジタル・データによる情報交換が国境を越えて自由に行なわれるようになった。情報開示はデジタル・データで行なわれ、国際間でデジタル・データを提示する場合には、その法的証拠能力を保持しておく必要が生じる。デジタル・データの取り扱いを安易に行なって、証拠性を失うことは、証拠隠蔽行為とみなされ、それが企業間や国家間の法的問題に発生する場合がある。
【００３９】
そこで、国際標準としてのデジタル・データ取り扱い方法を定めておく必要がある。すでに欧米諸国ではその動きをそれぞれ行なっている（CTOSE: Cyber Tool On-line Search for EvidenceやIOCE : International
Organization on Computer Evidence）。わが国においても、フォレンジックを専門に取り扱う初めての学会であるデジタル・フォレンジック研究会（会長：辻井重男  情報セキュリティ大学院大学学長）が平成16年8月に発足した。この研究会は、国際標準化や欧米諸国との連携の窓口としても期待される。
【００４０】
デジタル・データのやり取りが日常茶飯事となっているIT先進国にとっては、フォレンジックはなくてはならないものとなってきた。ITの技術が発達して、世の中の利便性が高くなってくるとともに、その技術がもたらすさまざまな問題も発生してくる。しかし、問題が立ちはだかってもなおかつ人類はそれらの問題を解決し、利便性に加えて安全性が備わった理想社会を実現させていく。法的問題を高度な技術を用いて解決するフォレンジックはまさにIT技術の安全性を維持していくきわめて重要な要素となる。
【００４１】
【特許文献１】特開２００２-３４２２７６
【非特許文献１】Jonathan Pacewiczh, “Forensic Hardware” Law EnforcementTechnology
【非特許文献２】Eric Thompson, “Computer ForensicsTools for Terabyte Investigations” HTCIA Conference
【非特許文献３】Larry Leibrock, “Digital Forensics Expert” e-discovery
【非特許文献４】平成１６年１２月１６日株式会社ネットマークスのホームページ「NETMARKSSOLUTION CASE STUDY “ソフトバンクＢＢ株式会社”」
【発明の開示】
【発明が解決しようとする課題】
【００４２】
以上には本発明の背景となるデジタル・フォレンジック技術につき詳しく説明した。以下では、従来のデジタル・フォレンジック技術における解決するべき課題につき述べる。高度情報化社会の発達により、企業や官公庁といった組織体においては、情報のやり取りや保管はほとんど全てデジタル・データを媒体としている。しかしながら、デジタル・データは非常に揮発性が高く、改ざんや消失が容易に行なわれる。また、デジタル・データ自体は人間が可視できるものではない。これらの特徴から、デジタル・データを媒体とした情報の不正使用事件においては、不正行為者の特定が非常に困難である。この困難さが不正行為を行なう者にほとんど無法地帯であるという意識をもたらし、罪の意識をほとんど持たないまま、不正行為を行なう者の増大を助長している。このようなデジタル・データの特徴に起因して、デジタル・データを使用した不正行為を効果的に抑制することは、非常に困難である。
【００４３】
［ネットワーク・フォレンジック（ネットワーク監視システム）］
図4は、フォレンジックによるネットワークの監視を可能にした企業内の典型的なコンピュータネットワークの構成を示す図である。このネットワークは、サーバーaと、端末のPCであるbと、監視装置cと、プリンター・FAXの複合機dとから構成されている。監視装置cはサーバーaに接続されている。図4のネットワークの機能は、ネットワークの監視を自動的に行う点に着目すれば、ネットワーク・フォレンジック機能である。また、図4のコンピュータネットワークは、フォレンジックによるネットワークの自動監視が可能なシステムである点に着目すれば、ネットワーク監視システムと称することができる。データeは、各端末相互間でサーバーaを介してやり取りされている。監視装置cは、そのサーバーａを通過するデータやログを監視し、データやログにおける異常を検知する。また、監視装置cは、ネットワークにつながっている端末での作業自体も監視し、端末での作業の異常を検知する。
【００４４】
図５は、非特許文献４に開示されたネットワーク監視システムの構成を示す図である。図５のネットワーク監視システムは、情報処理システム部と、ログ収集＆一次ログ保管部と、ログ収集＆二次ログ保管部とで構成される。情報処理システム部では、ネットワーク・フォレンジックによりクライアントＰＣのログが収集され、また各種業務サーバのログが収集される。ログ収集＆一次ログ保管部におけるＰＣログ監査システム、ログ一元管理システム、メールアーカイブは、情報処理システム部において収集したログの処理および保管をする。ログ収集＆一次ログ保管部で一次保管されたログは、ログ収集＆二次ログ保管部の大規模ストレージに保管される。ログ収集＆二次ログ保管部は、ＰＣログ監査システムで処理したログ、および大規模ストレージに保管されたログに関し、監査を行い、ログの解析を行う。このログの解析において、クライアントＰＣや各種業務サーバで行われた異常が検知される。
【００４５】
図４又は図５のネットワーク・フォレンジック（ネットワーク監視システム）は、一度に大量のPC等の端末を管理し、ネットワークにおける異常をネットワーク上で自動的に監視し、異常のあった端末を相当に絞り込むことを可能にする。しかしながら、図４又は図５のネットワーク・フォレンジックでは、ネットワークの管理権限を持っている者が行なった異常な行動は、検知することが難しいし、何らかの異常の存在の検知ができたとしても最終的に誰が何が行なったか、即ち法的証拠能力を備える程度に厳密に不正行為者を特定することは通常は困難である。
【００４６】
［コンピュータ・フォレンジック］
図６は、コンピュータ・フォレンジックの概念を示す図である。コンピュータ・フォレンジックは、個々の端末機器を対象とするデジタル・フォレンジックである。コンピュータ・フォレンジックでは、対象端末fのデータに関し、通常はハードディスクgに物理複写をすることにより、証拠保全iを実施し、そのデータに対して調査官hが調査jを実施する。その結果、対象端末fで何が行なわれ、誰が行なったかを特定することができる。端末の調査では、背景技術の欄で前に説明した解析が行われ、この解析は深く詳細に行なわれるので、非常に高い確率で不正行為者の特定が可能となる。その解析は、背景技術の欄で前に説明したように、証拠保全iで取得したデータの証拠性保持の証明が可能な方法で行われる。
【００４７】
しかしながら、コンピュータ・フォレンジックによる調査は人が行なわなければならないので、端末の調査には時間がかかり、多くの人員が必要となる。企業や官公庁などの組織体の定期監査などを行なうとするとき、調査対象者やその端末を絞り込む手段はないので、全ての端末について調査をする必要がある。そのような調査は現実的に不可能である。コンピュータ・フォレンジックだけでは、調査対象端末を絞りこむのが困難で、かなりの部分を経験に頼って調査対象端末の絞り込みをしていた。そこで、コンピュータ・フォレンジックによりコンピュータネットワーク全体を監視すると、最終的に得られる調査結果の信頼性において人的要素による格差が非常に大きく、とても調査の均一化は図れなかった。
【００４８】
［本発明の目的］
ネットワーク・フォレンジックは日本で既に実用化されているデジタル・フォレンジックであり、コンピュータ・フォレンジックは欧米で発達したデジタル・フォレンジックである。いずれのフォレンジック手法にも課題があり、ネットワーク・フォレンジックでは不正行為がなされた疑いのある端末を効率的に絞り込むことは可能であるが、不正行為者を特定することはできない。他方、コンピュータ・フォレンジックでは、証拠性保持の証明が可能な方法で不正行為者を特定できるが、不正行為がなされた疑いのある端末やその端末を操作した人を効率的に絞り込むことができないから、企業や官公庁などの組織体のコンピュータネットワークを効率的に監視したり、定期的に監査する手法としては適用できない。特に、コンピュータ・フォレンジックは、まだ事件が発覚していない段階での内部監査としては不適切である。また、フォレンジックにより最終的に特定した不正行為者が真の不正行為者である度合いを、フォレンジックの信頼性と定義するならば、コンピュータ・フォレンジックの信頼性は、調査実施者の経験や能力と言った人的要素に左右される。
【００４９】
そこで、本発明の目的は、コンピュータネットワークを効率的に監視し、疑わしい端末の絞込みが可能であり、証拠性保持の証明が可能な方法で不正行為者の特定が効率的に実施でき、その特定の信頼性が調査実施者の経験や能力と言った人的要素に影響され難いデジタル・フォレンジックの方法及びシステムの提供にある。
【課題を解決するための手段】
【００５０】
前述の課題を解決するために本発明は次の手段を提供する。
【００５１】
（１）ネットワーク・フォレンジックとコンピュータ・フォレンジックとを有機的に結合したデジタル・フォレンジックの方法。
【００５２】
（２）前記ネットワーク・フォレンジックでは、多数の端末からなるコンピュータネットワークを常時監視し、該コンピュータネットワークの何れかの端末又は端末群に関するログ又はデータと予め定めた条件との比較により、該ログ又はデータにおける異常の有無の判定をし、該判定において異常とされたログ又は異常とされたデータのログの分析をし、該分析に基づき調査対象の端末又は端末群の選別を実施し、
前記コンピュータ・フォレンジックでは、前記選別された端末又は端末群に関するログ又はデータの証拠保全を行い、該証拠保全がされた該ログ又はデータの解析を行い、該解析に基づき前記コンピュータネットワークにおける不正行為者の特定がされたときは、その不正行為者及び不正行為の内容を報告する
ことを特徴とする請求項１に記載のデジタル・フォレンジックの方法。
【００５３】
（３）前記ログ分析の結果を参考にして調査優先順位を決めて前記解析を行うことを特徴とする請求項２に記載のデジタル・フォレンジックの方法。
【００５４】
（４）
前記ログ分析よりE-mailに関する異常が検出されたときは、前記解析ではE-mail分析を実施し、前記ログ分析よりキーワードに関する異常が検知されたときは、前記解析ではキーワード検索を実施し、前記ログ分析より機密情報に関する異常が検知されたときは、前記解析では機密情報に関するアプリケーション又はキーワードに関する重点検索を実施することを特徴とする請求項３に記載のデジタル・フォレンジックの方法。
【００５５】
（５）前記請求項１乃至４の方法によりコンピュータシステムにおける内部犯罪の抑止又は捜査の促進を図るフォレンジックＩＴセキュリティシステム。
【発明の効果】
【００５６】
上記本発明によれば、コンピュータネットワークを効率的に監視し、疑わしい端末の絞込みが可能であり、証拠性保持の証明が可能な方法で不正行為者の特定が効率的に実施でき、その特定の信頼性が調査実施者の経験や能力と言った人的要素に影響され難いデジタル・フォレンジックの方法及びシステムを提供できる。
【発明を実施するための最良の形態】
【００５７】
次に本発明の実施の形態を挙げ、図面を参照し、本発明を一層具体的に説明する。図１は、本発明であるフォレンジックITセキュリティシステムの一実施の形態を示すフローチャート、図２及び図３はその実施の形態の概念を示す図である。図２は機能に関する概念を示し、図３はハードウエア構成の概念を示す。本実施の形態のフォレンジックITセキュリティシステムは、図２及び図３を参照して明らかなように、従来のネットワーク・フォレンジックとコンピュータ・フォレンジックとを有機的に結合したデジタルフォレンジックシステムである。ネットワーク・フォレンジック及びコンピュータ・フォレンジックそれぞれの長所を生かし、短所を補うシステムが本実施の形態のフォレンジックITセキュリティシステムである。
【００５８】
図２を参照し、本実施の形態の機能を説明する。ネットワーク・フォレンジックkの段階で、企業、官公庁などの組織体のネットワーク全体の監視を行なう。常時監視mでは、想定外のUSBやCD/DVDなどの外部接続機器が接続されているとか、想定外のトラフィックが行なわれている、想定時間外でログインがおこなわれている等の異常の検知ｐを実施する。想定された外部接続機器、トラフィック及び時間は、組織体の規則などに適合する機器、トラフィック及び時間である。ログ・パケットキャプチャーｎにおいて、それらの情報のログを取り、パケットキャプチャー等でデータなどを取る。取得したログやデータ等を予め決めた条件と比較し、どの端末あるいはグループで異常が発生したかを絞り込む「絞り込み」qを実施する。絞り込みqによりある程度絞り込めた端末に対して、コンピュータ・フォレンジックlの段階において、詳細な調査oを実施することによって不正行為者の特定rを行なう。
【００５９】
次に、図３を参照し、本実施の形態のハードウエア構成を説明する。ネットワーク・フォレンジック部においては、監視装置ｃは、端末ｂ又はｄで行なわれている状況やネットを流れているデータに関する異常の検知を実施する。異常の検知において、ログやデータを確認し、多数の端末のなかから不審な端末tを絞り込む。不審な端末tは、不正行為者により操作されている疑いのある端末である。符号eは、データを表す。不審な端末t及び端末tが不審であると推定した根拠のログやデータは、コンピュータ・フォレンジック部に報告される。不審な端末tは、1台であることもあるし、複数台であることもある。この報告は、符号sで示されている。コンピュータ・フォレンジック部は、その報告sを受けて、端末tに関するデジタル・フォレンジックを行ない、不正行為者を特定する。デジタル・フォレンジックでは、背景技術の欄で述べた証拠保全、解析および報告を行う。
【００６０】
本実施の形態のフォレンジックITセキュリティシステムの特徴は、これまでネットワーク・フォレンジックだけでは不正行為者とその行為内容そのものの特定は困難であったが、コンピュータ・フォレンジックとの組合せによりその特定を可能としたことにある。また、コンピュータ・フォレンジックだけでは、調査対象端末を絞りこむのが困難で、かなりの部分を経験に頼っていた。コンピュータ・フォレンジックの信頼性（コンピュータ・フォレンジックにより最終的に特定した不正行為者が真の不正行為者である度合い）は、調査実施者の知識や経験といった人的要素に大幅に依存しており、調査における信頼性の均一化は図れなかったが、ネットワーク・フォレンジックと融合した本実施の形態では、ある一定の条件でフィルターをかけることにより相当の確度で絞込みを行なうことが可能となり、効率と信頼性をあげることができる。この絞込みは一定の条件のフィルターで自動的に行われるから、本実施の形態によるフォレンジックの信頼性の均一性は高い。
【００６１】
本実施の形態におけるネットワーク・フォレンジック部では、一定の条件のフィルターをかけて不正行為者の絞込みを行うが、そのフィルターにおける一定の条件は、本実施の形態を利用する組織体が任意に選択でき、例として次のような条件を設定できる。この条件が、異常と判断する基準である。
（１）予め決められたその端末PCの使用者以外の人がログインした場合。
（２）外部接続記憶装置を接続した全ての場合。
（３）機密情報（技術情報・会計資料）に指定されているファイルを社外にメールした場合。
（４）機密情報に指定されている内容を示すキーワードを含んだメールを社外に送った場合。
（５）PCの使用者の定められた勤務時間外でそのPCにログインした場合。
【００６２】
次に図１のフローチャートを参照し、本実施の形態における処理の流れを説明する。図１のフローチャートは、本実施の形態により不正行為者を発見する手順を示している。ネットワーク・フォレンジック１２の工程では、まず常時監視１を行う。続いて、常時監視１で得られたログ及びデータに関して、予め定められた条件でフィルター２をかけて異常を検出する。この条件は、前記（１）乃至（５）である。フィルター２では、これら（１）乃至（５）条件の何れかに該当するときは、異常４があったと判定する。異常ならば、異常と判定されたログ又は異常と判定されたデータのログについてログ分析５を行い、異常の概要と対象端末または端末群を絞り込む。
【００６３】
ネットワーク・フォレンジック１２による絞り込み（選別）の結果である調査対象端末６を得て、コンピュータ・フォレンジック１３の工程に移行する。コンピュータ・フォレンジック１３では、絞り込まれた端末の証拠保全７をまず行なう。そして証拠保全したデータ（ログを含む）に対して解析８を実施する。解析８においては、ログ分析５における分析結果を参考にして調査優先順位を決めて、調査を効率よく進める。解析８より得た事実の証拠レポート９が、本実施の形態のシステムによるフォレンジックで最終的に得られる報告である。
【００６４】
本実施の形態においては、コンピュータ・フォレンジック１３の保全証拠解析８において、ネットワーク・フォレンジック１２におけるログ分析５で得た分析結果を利用する。本実施の形態では、このように保全証拠の解析８においてログ分析５の結果を利用するので、コンピュータ・フォレンジック１３における保全証拠データの解析８を効率的に進めることが可能となった。例えば、ログ分析５よりE-mailに関する異常が検出されたときは、データ解析８ではE-mail分析を実施する。また、ログ分析５よりキーワードに関する異常が検知されたときは、データ解析８ではキーワード検索を実施する。また、ログ分析５より機密情報に関する異常が検知されたときは、データ解析８では機密情報に関するアプリケーション又はキーワードに関する重点検索を実施する。
【図面の簡単な説明】
【００６５】
【図１】本発明の一実施の形態であるフォレンジックITセキュリティシステムを示すフローチャートである。
【図２】図１の実施の形態における機能の概念を示す図である。
【図３】図１の実施の形態におけるハードウエア構成の概念を示す図である。
【図４】フォレンジックによるネットワークの監視を可能にした企業内の典型的なコンピュータネットワークの構成を示す図である。
【図５】従来のネットワーク監視システムの構成の一例を示す図である。
【図６】コンピュータ・フォレンジックの概念を示す図である。
【図７】起動前後のタイムスタンプ更新状況を示す図である。
【図８】デジタル・フォレンジックにおける、HDDから直接複製する方法を示す図である。
【図９】デジタル・フォレンジックにおける、特別なOSを起動してUSB/FireWireを通じてPCからHDDのデータを複製する方法を示す図である。
【図１０】デジタル・フォレンジックにおける物理コピーの重要性を説明する図である。
【図１１】デジタル・フォレンジックにおける証拠保全の工程を説明する図である。
【図１２】デジタル・フォレンジックにおけるレジストリ保護領域の調査を説明する図である。
【図１３】パスワード解析用フォレンジック・ツールにおける画面表示の例を示す図である。
【図１４】データベース再構築方式の解析ソフトウェアの例を示す概念図である。
【図１５】デジタル・フォレンジックにおけるにおける時系列的工程を示す図である。
【符号の説明】
【００６６】
a  サーバ
b  端末ＰＣ
c  監視装置
d  プリンタ・ファクス複合機
e  データ
f  調査対象の端末
g  ハードディスク
h  調査官
i  証拠保全
j  調査
k  ネットワーク・フォレンジック
l  コンピュータ・フォレンジック
m  常時監査
n  ログ取得およびパケットキャプチャーによるデータ取得
o  詳細な調査
p  異常の検知
q  異常な端末の絞込み
r  不正行為の特定
s  報告
t  不審な端末t
【図１】
2006178521.tif 000003
【図２】
2006178521.tif 000004
【図３】
2006178521.tif 000005
【図４】
2006178521.tif 000006
【図５】
2006178521.tif 000007
【図６】
2006178521.tif 000008
【図７】
2006178521.tif 000009
【図１０】
2006178521.tif 000010
【図１１】
2006178521.tif 000011
【図１２】
2006178521.tif 000012
【図１３】
2006178521.tif 000013
【図１４】
2006178521.tif 000014
【図１５】
2006178521.tif 000015
【図８】
2006178521.tif 000016
【図９】
2006178521.tif 000017