(57)【要約】【課題】コンピュータ・フォレンジックを効率よくかつ確実に実施する。【解決手段】仮想ディスクイメージ格納部１０１に、各調査対象コンピュータのディスクを基に生成した仮想ディスクを目的別に設け、ファイル内容調査部１０３、振る舞い調査部１０５は、各目的毎にその目的に対応した仮想ディスクを調査する。【選択図】図１
2007257155.tif 000002
【特許請求の範囲】
【請求項１】
仮想ディスクイメージ格納部に、各調査対象コンピュータのディスクを基に生成した仮想ディスクを目的別に設け、各目的毎にその目的に対応した仮想ディスクを調査することを特徴とするコンピュータ・フォレンジック方法。
【請求項２】
請求項１に記載のコンピュータ・フォレンジック方法において、前記目的は、振る舞い調査の目的とファイル内容調査の目的を含むことを特徴とするコンピュータ・フォレンジック方法。
【請求項３】
請求項１に記載のコンピュータ・フォレンジック方法において、仮想ディスクを調査した後、その仮想ディスクの内容が基となるディスクの内容と一致しているか否かを調査することを特徴とするコンピュータ・フォレンジック方法。
【請求項４】
仮想ディスクイメージ格納部に、各調査対象コンピュータのディスクを基に生成した仮想ディスクを目的別に設け、各目的毎にその目的に対応した仮想ディスクを調査することを特徴とするコンピュータ・フォレンジック装置。
【請求項５】
請求項４に記載のコンピュータ・フォレンジック装置において、前記目的は、振る舞い調査の目的とファイル内容調査の目的を含むことを特徴とするコンピュータ・フォレンジック装置。
【請求項６】
請求項４に記載のコンピュータ・フォレンジック装置において、仮想ディスクを調査した後、その仮想ディスクの内容が基となるディスクの内容と一致しているか否かを調査することを特徴とするコンピュータ・フォレンジック装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータ・フォレンジック(computer forensic)（不正アクセスや情報漏えい等、コンピュータに関する犯罪や法的紛争が生じた際に、原因究明や捜査に必要な機器やデータ、電子的記録を収集・分析し、その法的な証拠性を明らかにする手段や技術）を行うためのコンピュータ・フォレンジック方法及びコンピュータ・フォレンジック装置に関する。
【背景技術】
【０００２】
ＩＴネットワーク化の進展により、不正アクセスや情報漏えい等の事件が急増しており、組織はこれらの事件に対して、コンピュータ上の証拠を収集し、刑事及び民事訴訟等への準備・対応を行う必要が生じている。
【特許文献１】特表２００２−５１９７６０号公報
【特許文献２】特開２００４−７８２６５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、これらの作業を効率的かつ的確に行う手順が未整備であり、誤った調査により証拠能力を失ってしまったり、調査に膨大な時間がかかってしまったりする恐れがある。
【０００４】
コンピュータ・フォレンジックでは、調査の対象となるコンピュータのデータを保全した上で、証拠となるファイルや記録を探し出したり、振る舞いを調査したりする必要があるが、これらの調査を行う場合は、対象となるコンピュータのハードディスクを物理的に複製し、ハードディスクにアクセスする必要があった。この場合、調査を行う者（以下、「調査官という」）は、物理的なハードディスクを多数保管し、事件ごとに該当するハードディスクにアクセスする必要があり、効率の悪さが問題であった。また、実際に複製したハードディスクの内容が書き換わらないように起動することは非常に困難であり、解析における制約があった。
【０００５】
そこで、本発明は、コンピュータ・フォレンジックを効率よくかつ確実に実施するためのコンピュータ・フォレンジック方法及びコンピュータ・フォレンジック装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明によるコンピュータ・フォレンジック方法は、仮想ディスクイメージ格納部に、各調査対象コンピュータのディスクを基に生成した仮想ディスクを目的別に設け、各目的毎にその目的に対応した仮想ディスクを調査することを特徴とする。
【０００７】
上記のコンピュータ・フォレンジック方法において、前記目的は、振る舞い調査の目的とファイル内容調査の目的を含むようにしてもよい。
【０００８】
上記のコンピュータ・フォレンジック方法において、仮想ディスクを調査した後、その仮想ディスクの内容が基となるディスクの内容と一致しているか否かを調査するようにしてもよい。
【発明の効果】
【０００９】
本発明によれば、調査官は、調査対象ごとにハードディスクを物理的に管理する必要がなくなり、調査の効率アップを図ることができる。
【発明を実施するための最良の形態】
【００１０】
以下、図面を参照して本発明を実施するための最良の形態について詳細に説明する。
【００１１】
本実施形態では、調査対象となるコンピュータのハードディスクの仮想ディスクイメージを２つ作成し、削除データを含むファイル内容の調査と、振る舞いの調査の双方の観点により仮想ディスクイメージを活用したフォレンジクスを行う。これにより、調査官は、調査対象ごとにハードディスクを物理的に管理する必要がなくなり、調査の効率アップを図ることができる。また、仮想ディスクでは、複製を作成した時点の状態に戻すことができ、対象となるコンピュータの振る舞いを容易に確認することができる。
【００１２】
本発明の実施形態によるコンピュータ・フォレンジック装置は、仮想ディスクイメージ格納部１０１とファイル内容調査部１０３と振る舞い調査部１０５を備える。
【００１３】
本コンピュータ・フォレンジック環境における動作を以下に示す。
（１）調査対象コンピュータのデータ確保
調査対象のコンピュータのハードディスクを書き込みができないようにし、コンピュータ・フォレンジック装置に接続し、ハードディスクの全データを仮想ディスクイメージとして複製を作成する。この時、仮想ディスクは、ファイル内容調査用と振る舞い調整用の２つを同時に作成し、別々に保存する。
（２）仮想ディスクを活用したフォレンジック実施
ファイル内容調査用の仮想ディスクは、ファイル内容調査部１０３によってアクセスされ、削除データの復元や記録の把握等に活用される。この時、仮想ディスクに対して、書き込みができない状態でアクセスすることができる。また、振る舞い調査用の仮想ディスクは、振る舞い調査部１０５によってアクセスされ、実際に仮想コンピュータとして起動され、振る舞いの調査等に利用される。
（３）複数の仮想ディスクの同時調査実施
調査対象の複数のディスクそれぞれを基に複数のファイル内容調査用仮想ディスクを生成しておく。すなわち、ファイル内容調査用の仮想ディスクは、複数のものを同時に調査できるようにし、複数のコンピュータをまたがる証拠の把握を行えるようにする。
【００１４】
同様に調査対象の複数のディスクそれぞれを基に複数の振る舞い調査用仮想ディスクを生成しておく。すなわち、振る舞い調査用の仮想ディスクは、仮想ネットワーク上に複数のコンピュータを同時起動できるようにし、仮想ネットワーク環境化での調査を行えるようにする。仮想ネットワーク環境は、仮想ディスクイメージ格納部の内部に設けてもよいし、振る舞い調査部１０５の内部に設けてもよいし、これら以外の場所に設けてもよい。
（４）フォレンジック実施後の管理
フォレンジック実施後は、フォレンジック実施において仮想ディスクの内容を書き換えたかどうか確認できるようにする。すなわち、仮想ディスクを調査した後、その仮想ディスクの内容が基となるディスクの内容と一致しているか否かを調査する。また、振る舞い調査用の仮想ディスクは、起動時からの動作をリセットできるようにする。
【００１５】
従って、本実施形態によれば、以下の効果が奏される。
（１）調査官は、調査対象ごとにハードディスクを物理的に管理する必要がなくなり、調査の効率アップを図ることができる。
（２）複数の仮想ディスクを同時に調査することにより、コンピュータ間の関連等を調査することができる。
（３）仮想ディスクでは、対象となるコンピュータの振る舞いを確認した後でも、複製を作成した時点の状態に戻すことができ、調査の効率化を図ることができる。
（４）仮想ディスク化して一元管理することによって、物理的セキュリティ対策が行い易くなり、セキュリティレベルの向上を図ることができる。
【００１６】
なお、上記の実施形態では、振る舞い調査と内容調査の２種類の調査をするために、同一の調査対象のディスクから２つの仮想ディスクを作成することとしたが、この他の種類の調査をする場合には、同一の調査対象のディスクから３つ以上の仮想ディスクを作成する。
【図面の簡単な説明】
【００１７】
【図１】本発明の実施形態によるコンピュータ・フォレンジック装置の構成を示すブロック図である。
【符号の説明】
【００１８】
１０１  仮想ディスクイメージ格納部
１０３  ファイル内容調査部
１０５  振る舞い調査部
【図１】
2007257155.tif 000003