TA

BL

EOFCO

NTE

N

T

S

セキュリティ専門家が履歴書レビューや模擬面接のワークショップを開催して業界への就職を積極的に支援

キンバー・ドウセット インタビュー… ……………………………………………………… 3
社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 5 月号…………………………………… 7
セキュリティツールを実践的に紹介する連載企画

Let's Try HDD 保全 ! 1. 準備編………………………………………………………………… 9●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. https://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2023. All rights reserved.

2

セキュリティ専門家が履歴書レビューや模擬面接のワークショップを開催して業界への就職を積極的に支援

キンバー・ドウセット インタビュー
Kimber Dowsett

インタビューサポート + 通訳 = エル・ケンタロウ
取材 + 記事構成 = 吉澤亨史
文 = 斉藤健一

キンバー・ドウセット氏は、連邦政府機関・民間企業でセキュリティ・エンジニアとして活躍する一方、コミュニティ内では技術分野への就職希望者を支援するワークショップも展開している。そのようなドウセット氏に、キャリアの築き方、仕事に対する考え方、就職支援活動などについて話を伺った。
米国と日本で企業の採用方針が異なるのは読者の方も容易に想像がつくだろう。日本の採用面接では学生時代に力を入れてきたことやプライベートなことも質問されるが、米国では、スキルや経歴に関する質問がメインとなっている。だからといって、今回の記事で紹介されていることが、日本では通用しないかといえば、そんなことはないはずだ。氏が提案するのは特別なことではなく、応募先の組織を調査・研究して対策を立てるということだ。これは国の違いや新卒・転職を問わず誰もが取り入れられる要素だろう。していた 2000 年代初頭にはまだサイバーセキュキャリアを築くということリティの学位は存在していませんでした。卒業

仕事に対する姿勢を定めてスキルを磨く

後 は Apple に 入 社 し ま し た。Apple Store で は、AdobeCreativeSuite などプロフェッショナル向け）：今回はお時間をいただき、ありアプリケーションのトレーニング・プログラムをがとうございます。インタビューに先立ち、キン提供しているのですが、私はこのプログラムのトバーさんの経歴や執筆記事、過去のインタビューレーナーとして採用され、活動していました。

吉澤（以下などを調べてみました。非常にユニークなキャリ

キャリアのスタートはセキュリティではなかっアをお持ちだと感じました。まず、ご自身のキャたと。

リアについて簡単に振り返っていただけますか。
キンバー・ドウセット（以下はい。あるとき、Apple 本社でトレーナー向）：大学院ではけの講習を受けていたのですが、隣の部屋でコンニューメディア論を専攻していました。私が在学ピューターを分解している人たちを見かけました。

キンバー・ドウセット（Kimber Dowsett）
VMware Tanzu Application Platform チームのセキュリティエンジニ
アリング責任者。以前はワシントン DC のセキュリティコンサルタ
ント会社、Krebs Stamos Group でディレクター、Truss のセキュリ
ティエンジニアリング担当ディレクター、そして NASA の上級ミッション情報スペシャリストなどを歴任。
プライバシー、暗号化、一般向けテクノロジーに対する情熱を持つ。
専門技術分野でのキャリア開始を目指す社会的地位の低いコミュニティのメンターとして活動し、選挙の整合性とセキュリティについての講演を行う。PCB ベースの電子プロジェクトの設計と構築が趣味で、コミックブックやビデオゲームも愛好している。
3

それは、Mac Genius プログラムのトレーニングでに関する取り組みを、より一層責任感を持って進めした。とても面白そうに見えたので、こっそりと席るべきだと強く感じるようになりました。その中にについて講義を受けていたところ、なんと Geniusはもちろんプライバシー保護も含まれています。巨

トレーニングを修了できてしまったのです。

大テクノロジー企業は市民を守る義務があり、それ修了できるところが米国的なのかもしれません。

は利益よりも優先されるべきだと私は考えています。

この経験が技術に興味を持つきっかけとなりま

そして私自身は、そのような価値観に合致した仕事を選ぶよう心がけています。

した。当時の Apple には技術認定資格が 3 つありましたが、私はそのすべてを取得した初の女性となりました。ですが、このときの Apple は販売に履歴書レビューと模擬面接に関する注力する方針を打ち出していましたので、技術のワークショップ仕事に就きたいという私の志向とはズレが生じていました。

セキュリティ・コミュニティ内でキンバーさその後、新たな一歩を踏み出すこととなるわけ

んが取り組んでいる、MIRR（Mock Interview andですが、どのような職に就きたいか、何か考えてResume Review：模擬面接と履歴書レビュー）についたことはありますか。いて伺います。このワークショップを始めたきっかけにはどのような背景があったのでしょうか。

大学院でニューメディア論を学んだ経験から、「民主主義における技術」「技術と民主主義のバラきっかけはロビーコン（カンファレンス会場のンス」などといったことを考えていました。これ

ロビーで参加者同士が意見を交わす私的な集会のがきっかけとなり、とあるスタートアップ企業に通称）でした。確か、2016 年・2017 年くらいだ参加したのです。その企業では、地方有権者の声と記憶しています。偶然にも私に履歴書のチェッを米国議会議員に届けるアプリケーションを開クを頼んできた人がいました。聞けば就職活動で発していました。とはいえ、そのアプローチはか苦戦しているとのこと。そこで、私が履歴書を見なりアナログなもので、有権者が Web フォームてアドバイスをしていると、次第に希望者が増えで入力した情報を、私たちが印刷してワシントンていきました。そこで、数人の仲間とともに非公DC の議会へ届けるというものでした。

式ではありますが、プロジェクトを始めることにしたのです。これまでにさまざまなカンファレン有権者の声を議会に届ける仕組みを作った意義

スで実施しており、中には正式なコンテンツとしは大きいと思います。

て採用してくれたところもあります。

その後、別のスタートアップ企業にも参加しましたが、そこでは結果として企業倫理やプライバ盛況ですね。

シー保護について深く学ぶこととなりました。そはい。反響の大きさに自分たちも驚きました。

の企業は、ラジオの聴取率調査を業務としており、ですが、次第にこのプロジェクトを自分たちだけ聴取データを記録する機器を各家庭に配布、そので動かすことが難しくなってきたので、ワーク後回収して調査を行っています。しかし、ある時、ショップのフレームワークを作り、GitHub で公調査を通じて不必要に多くの個人情報が収集され開し、オープンソース化することとしたのです※ 1。

ていることを知ったのです。職場環境や給与条件

今では、このフレームワークを使ってさまざまななどは良かったのですが、自分の倫理観とは相反人たちがワークショップを開いています。

する状況だったため、結局その会社を辞める決断

キンバーさんが関わったワークショップでは何をしました。名くらいの方が参加されたのでしょうか。

確かにプライバシー保護は重要ですね。

私が関わったものだと 400 〜 500 名ほどです。
その中から 200 名ほどが何かしらの形で職務につはい。その後、NASA（米航空宇宙局）に入るこくことができました。ととなりますが、その頃から「民主主義における技術」※１ MIRR Workshop https://github.com/mzbat/mirr4

米国在住のキンバリー・ドウセット氏だが、今回の取材は欧州への出張期間中に行われ、さらにオンライン・インタビューへの対応は移動中の船内だったそうだ

クアップして履歴書を作成します。例えば 20 社

さきほど出た履歴書のチェックのお話ではどのに履歴書を送るのであれば、20 社分の履歴書はすようなアドバイスをされたのでしょうか。べて異なった内容となります。

その人はセキュリティ業界に入って間もない方履歴書をカスタマイズするということですね。

で、職務経歴書には、自分が重要だと考えている項目だけが簡潔に記述されていました。そこで、特に、大企業では応募者が多数となることから、私は CTF 大会に参加した経験があるか尋ねてみま

事前に機械的な書類審査が行われることがありました。新卒やセキュリティ業界でのキャリアを始す。企業が応募要項で求めているキーワードが履めたばかりの段階では、どのように技術やセキュ歴書に反映されていないと、一次審査すら通過でリティに興味を持ったのか、また、この業界を選きませんから、調査して履歴書をカスタマイズすんだ理由や背景を示す情報を履歴書に盛り込むこるのです。
同様に、模擬面接を受けた人にアドバイスしてとが重要です。というのも、面接官から見た場合、いるポイントなどはありますか？

応募者がコミュニティとどのように関わりを持っ大切なのは面接の準備をすることです。多くのているのかを知る手がかりにもなるからです。

人は何の準備もしないまま面接を受けています。

面接官の視点というのは自分の中にはありませ

面接官がどのような職務を担当しているのか、どんでしたから、とても新鮮に感じました。
多くの人が、履歴書を定型のテンプレートにのような背景を持っているかなどを事前に調べて基づいて作成していると思いますが、私自身、そおくだけでも、面接が進む方向を予測する手助けうである必要はないと考えています。ひとそれぞとなります。例えば、採用までに面接が 3 回〜 4

れユニークなキャリア形成がありますから、それ回行われる企業だとすれば、技術者・人事担当者・は履歴書にも反映するべきだと思っています。まライン統括マネージャーなどさまざまな職務の人

た、履歴書を書く時、多くの人に実践してほしいが面接官となる可能性があります。それぞれの人と思うのは、募集要項と履歴書をマッチングさせがどのような質問をしてくるかなどを事前に考えることです。私自身は応募の履歴書を 1 枚にまとておく必要があると思います。
事前に準備していれば、予期しない質問にアタめるようにしています。もちろん、すべての職務フタすることも減りますね。

経歴や取得した認証資格、執筆した書籍などを含めると相当なボリュームになります。これを基にまた、米国の話になりますが、過去 5 年間で応募先の組織ごとに適切だと思われる情報をピッ面接において多様性に関する質問が増えてきまし5た。これは応募者の個性が企業文化と合っている教えてください。

かを探るための質問です。ただし、この「多様性」

私がワークショップ運営に直接関わっているのが指すものは、教育・社会経済・経歴・歴史・人種・は、防御側の人たちを対象にした Blue Team Con宗教などさまざまな要素が含まれます。応募者はのみです ※ 2。このカンファレンスは毎年夏に開面接の際に、面接官が何を求めているのかを考え催されていますが、それ以外の時期、例えば春なる必要があります。先ほど述べた MIRR のフレーどにオンラインでワークショップを開催したいとムワークでは、このような多様性に関する質問の考えています。ただ、オンライン開催は対面開催例などを提供しています。

とは違った難しさがあるようにも感じています。他にもフレームワークの更新作業なども引き続き転職の場合だと、十数年ぶりに面接を受けると行っていくつもりです。

いう状況も珍しくありません。その時にこうした社会的な質問をされると、どのように答えたらよ
いかわかりませんから、模擬面接は大切だと感じ成長に求められる 2 つの視点とました。

メンターシップ

もう 1 つ、面接でよく見られる間違いについて紹介します。面接では最後に必ず「何か質問があ最後になりますが、セキュリティ業界への就職るか」と尋ねられます。多くの人は「ない」と答を目指す人、あるいは業界内で転職して新たなスえてしまいますが、これは実は適切な回答とは言キルを習得したい人に向けて、アドバイスやメッえません。その企業で働きたいと真剣に考えていセージがあればお願いします。るのなら、何かしらの質問はあるはずです。質問

難しい質問です。セキュリティは非常に広範で、しないということは、面接官に対して、その人が専門性は多岐におよびます。1 つの専門分野を深組織や仕事について調査をしていないと思われるく掘り下げていく視点も重要ですが、それだけで可能性があります。福利厚生などに関する質問では行き詰まる可能性もあります。そのため、全体はなく、チーム構成や人数など、仕事に直結するを俯瞰する視点を持つことも大切だと私は考えま質問をするべきです。

す。手始めに自分が興味ある分野で働く人に「ああらかじめ質問を用意するのがよさそうです。

なたの日常はどんな感じですか」と尋ねてみるとはい。参考になるかどうかわかりませんが私自ころからはじめてみるのがよいと思います。身の話をします。私が面接を受けるのは管理職を2 つ視点を持つことは大切ですね。

募集しているケースですが、面接官に「最後に休また、行き詰まったときに、相談したり助言を暇を取得したのはいつか」と質問するようにして求めたりできるメンターの存在も重要です。私自います。というのも、その回答から組織のワーク

身もメンターとして活動しています。多くの場合、ライフバランスについて多くの情報が得られるかメンティー（指導を受ける人）は具体的な答えをらです。

求めてきますが、私が示すのはあくまで答えにた面白い視点からの質問です。

どり着くまでの道筋です。このやりとりを続ける面接官の立場から考えると、応募者が質問を中で、メンティーは答えを見つけるやり方を学ん持っているか否かは、その人が実際に組織についでいくのだと思います。もちろん、メンターもメて調査を行ったのか、あるいは募集広告を見つけンティーと向き合う時間や気力といった覚悟が求て応募しただけなのかを判断するための重要な指められます。標となります。

まさに師弟関係ですね。本日は貴重な話を伺うことができました。ありがとうございました。

MIRR の今後について考えていることがあれば※ 2 Blue Team Con https://blueteamcon.com/

6

社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 6 月号
文＝ SHIELD Security Research Center

Telegram を利用したサイバー犯罪の犯行声明増加に関する考察【概要】
サイバー犯罪者からの犯行声明に、ロシア人技術者が開発した無料のインスタントメッセージアプリケーションである Telegram が使用される事例が増加している。例えば、DDoS 攻撃の犯行声明に Telegram が使用されるケースなどだ。これまでは Twitter などを介して声明が出されていたが、昨今、Telegram が犯行声明に利用される理由について考察する。
【内容】
Telegram は無料のメッセージアプリであり、基本的な機能は LINE や Facebook Messenger と変わらず、テキストチャットや音声・ビデオ通話、画像やファ図 Telegram を使った攻撃声明の例
NoName057(16) が 日本の企業に対し DDoS 攻撃を行ったことをイルの共有などが可能である。また、2022 年 6 月の訴求したもの

公式ブログによると、ユーザー数は 7 億人を突破しており普及率も増加している。

は DDoS 攻撃への対策が広まったことで、攻撃が成その一方で、Telegram は他のメッセージアプリ功するかを事前に予測することが困難となり、明確に比べ犯罪で利用されるという負の側面も持つ。例

な対象を事前に宣言しづらい状況になったことなど

えば日本の犯罪者による事例では、2023 年 2 月にが理由に挙げられる。

逮捕された「ルフィ」をリーダーとするグループにTelegram が犯行声明に利用されやすい理由の 1 つ

よる連続強盗・特殊詐欺事件で、犯行指示の連絡にとして匿名性の高さがある。LINE や Twitter などのTelegram が使われた。他にも、海外の犯罪者によ登録では、電話番号による認証などが必要となり匿る事例では 2023 年 2 月 13 日に NoName057(16) が名性の確保は難しい。一方、Telegram は SIM カード

Telegram で日本の複数 Web サイトに対して DDoS（電話番号を含む識別情報）なしでもアカウント登録攻撃※ 1 を行ったことを公表した（図）。また、2022が可能である。これには Telegram 開発者が立ち上げ

年 9 月 6 日には Killnet が、日本政府が運営する行政た分散型オークションプラットフォーム「Fragment」情報の総合窓口サイト「e-Gov」などへの攻撃を投で匿名番号（Anonymous Number）の購入が必須だが、稿している。

SIM カード不要というのは、犯罪者にとって非常にこれまで DDoS 攻撃の声明には、Twitter などを介好都合である。

した攻撃対象の事前予告が多かったが、昨今は「実また、サイバー犯罪に利用されるプラットフォー際に攻撃が成功した」という犯行声明が多い。これ

ムも変化している。従来、サイバー犯罪関連のフォー7

ラムやマーケットなどはダークウェブでの運用が主非常に秘匿性の高いやりとりが可能である。このただったが、法執行機関による摘発やフォーラムなどめ、主要なサイバー犯罪のコミュニティがダークウェに対するサイバー攻撃といったサイバー犯罪者側にブから Telegram へと移行しており、それに伴って犯とっての課題も存在していた。一方、Telegram は登行声明で利用するプラットフォームが変化している

録・利用が容易であり匿名性が高いため、サイバー可能性がある。
現時点では法執行機関による Telegram の通信履歴

犯罪者にとって利用しやすい。
加えて、シークレットチャット機能を使えば、追跡や暗号化情報の復号は公表されていない。これチャットを開始した端末のみにアクセスを制限するらの点から、Telegram がサイバー犯罪者に好まれることや、一定時間でのメッセージ自動消去、チャッ理由と考えられる。トの削除で相手の端末からも閲覧不可となるなど、【情報源】
https://www.sompocybersecurity.com/column/column/shift_from_darkweb_to_telegram
https://telegram.org/blog/700-million-and-premium
https://www.bbc.com/japanese/64592167

8

セキュリティツールを実践的に紹介する連載企画

Let's Try HDD 保全！

1．準備編

文＝ SHIELD Security Research Center

はじめにセキュリティ対応の現場ではさまざまな状況に直面します。それゆえに広範囲にわたる知見が必要となりますし、使用するツールも多岐にわたります。
本稿は、各種の状況で使用されるセキュリティツールを実践的に紹介する連載企画です。
今号から 3 号にわたり「HDD の保全」について紹介します。セキュリティ・インシデントの調査において、元データがその後の分析に利用可能な状態で保たれていることが重要です。これが HDD の保全が必要となる主な理由です。
HDD の保全作業は図 1 のとおりです。1から6までの工程がありますが、今号では「準備編」として保全の事前準備となる1、2の作業を解説します。次号「実践編」では保全 HDD をイメージファイルとして保全する4〜6を紹介し、3 回目の「確認編」で保全したイメージファイルを確認します。
なお、本稿では保全対象を HDD としています。HDD 以外の対象には適用できない解説も含まれていますのでご注意ください。

IR・フォレンジック用のブータブル
CD-ROM をセット

証拠保全用のUSBHDD などを接続

調査対象 PC

ディスクイメージの確認

記事では CentOS の仮想マシンを使用

ディスクイメージを書き出し

ブータブル CD-ROMから起動（BIOS起 動
順序の変更）

CD-ROM から起動した
OS 上で、イメージ作成用ソフト実行→準備編で紹介する作業
図１HDD 保全の工程と準備編で紹介する作業

9保全の実習環境の構築●ゲスト OS（保全対象）作成の準備
保全の実習を行うにあたり、保全を行う対象のコンピューターが必要となります。今回は、保全を行う対象のコンピューターとして、Oracle VirtualBox を利用し、CentOS がインストールされた仮想マシンを作成します。
① Oracle VirtualBox のダウンロード② CentOS のダウンロード

Oracle VirtualBox は公式サイトから入手でまた、CentOS の最新版も公式サイトから入手きます。なお、VirtualBox のインストール可能です。今回は、2023 年 4 月時点最新版のは基本的に初期設定で進めて問題ありませ「CentOS Stream9」をダウンロードします。

んので、手順などは省略します。

https://www.centos.org/download/

https://www.virtualbox.org/●ゲスト OS の作成と仮想マシンの起動① 新規 VM イメージの作成②ディスクサイズの設定

ダウンロードが完了したら、VirtualBox を立

ここで、ディスクサイズを 5GB と設定していまち上げて、新規 VM イメージを作成します。

す。これは、CentOS9 を Minimal Install する（後VM イメージ作成する際は、OS 名を名称に入述）ために必要な最小サイズです。あまり大きれると、Virutal Box が OS 種別を自動認識すなサイズで作成すると、保全する際に時間がかる場合があるので便利です。

かりますのでご注意ください。

10

③ VM イメージの完成
VM イメージが作成できましたら、図のように追加されます。

④ VM イメージの起動「起動」ボタンをクリックして VM イメージを起動します。この時、OS がインストールされていませんので、図のようにOS のインストール DVD を求められます。ダウンロードしておいた「CentOSStream9」の ISO イメージを指定してください。ISO イメージを指定して起動すると、インストール設定画面が開きます。

⑤ CentOS のインストール「CentOS Stream9」のインストール設定
画面が開きましたら、まず、ソフトウェア か ら、 最 小 イ ン ス ト ー ル「MinimalInstall」を選択してください。VM 作成
時間、イメージの容量の節約にもなります。

⑥ CentOS のインストール設定（インストール先）
今回は、ストレージの設定として「自動構成」を指定しました。お好みによって、パーティションを指定してください。

11⑦ CentOS の イ ン ス ト ー ル 設 定（ パ スワード）
root でログインするためのパスワードを設定します。記事では「toor」としていますが、読者の方は、それぞれのパスワードを設定してください。

⑧ CentOS インストール完了・スナップ
ショットの作成
これらの設定が完了しましたら、インストールを開始します。「インストールが完了しました」と表示されれば作業は完了です。「システムの再起動」ボタンをクリックすると、CentOS が起動します。
ただし、今回は、初期状態でスナップショットを取得するため、いったん電源をオフにします。CentOS がシャットダウンしたら、スナップショットを取得します。
⑨ CentOS に root ログイン・フラグの保存スナップショットの作成が完了したら、CentOS を起動し、root と指定したパスワードでログインできることを確認してください。保全対象 HDD を確認するフラグ（目印）となるファイルを作成します。図のコマンドを用いて、確認用のフォルダー (/root/himitsu)、テキスト作成 (/root/himitsu/himitsu.txt) してください。
# mkdir /root/himitsu# touch /root/himitsu/himitsu.txt# echo himitsu > /root/himitsu/himitsu.txt⑩ CentOS のシャットダウン
フラグとなるファイルの作成を終えたら、OS のシャットダウンします。シャットダウン後はあらためてスナップショットの取得をお勧めします。
# shutdown -h now

12IR・フォレンジック用のブータブル CD-ROM● Tsurugi Linux 起動の準備「Tsurugi Linux」とは、オープンソースプロジェクトの、DFIR（Digital Forensics and IncidentResponse）向け Linux ディストリビューションです。保全に必要なツール類が初期状態でインストールされているなど使いやすいディストリビューションとなっています。
① Tsurugi Linux のダウンロード「Tsurugi Linux」は、公式サイトからダウンロード、利用が可能です。
今回は、Live 起動が可能な下記の「TsurugiAcquire」をダウンロード利用します。
Tsurugi Acquire [32-bit]
Filename: tsurugi_acquire_2021.1.isoRelease date: 09/04/2021
Live 起動とは、侵害された実機コンピューター

https://tsurugi-linux.org/downloads.php

を用いて、DVD や USB デバイスなど、外部メディアから、OS を起動する手法です。
② BIOS 設定の確認「Tsurugi Linux」を Live 起動するにあたり、事前に BIOS 設定の確認が必要となります。一般的な PC では、BIOS 設定を通じて起動ドライブを選択できます。通常、PC は HDD から起動する設定となっていますが、マルウェア感染などの侵害を受けた場合、ログファイルが削除されるなどして PC の状態に変化が生じる可能性があります。このような問題を防ぐため、DVDや USB などの外部メディアから起動するように BIOS 設定を変更します。

BIOS 設定画面の呼び出しや、起動メディアの設定方法は PC によって異なりますので、マニュアルなどでご確認ください。
VirtualBox では、起動時に F12 キーを押下する事で BIOS の設定画面を呼び出すことができ、通常の PC とは異なり単純なものとなります。なお、今回の記事で紹介する環境においては、この作業は必要ありません。

13

● Tsurugi Linux の Live 起動①ストレージ設定
VirtualBox の VM イメージを選択、設定ボタンを押下して、ストレージ設定を開きます。

② Tsurugi Linux の選択
コントローラ：IDE より、「Tsurugi Linux」イメージファイルをマウントします。この状態は、物理マシン（実機 PC）の DVD
ドライブに「Tsurugi Linux」のメディアがセットされているのと同じ状況となります。

③ Tsurugi Linux の起動メニュー「Tsurugi Linux」 の ブ ー ト ロ ー ダ ー が 起動します。今回は、Live で起動するので「Tsurugi Acquire Live（GUI mode）」で起動します。

④ Tsurugi Linux の起動
しばらくすると、「Tsurugi Linux」の起動が完了します。

14

●ファイルシステムの確認、保全 HDD の確認①ファイルシステムの確認
OS の起動後、ターミナルを開き、ファイルシステムの状況を確認します。
# df -k

現段階では、作成した 5Gbyte の「CentOS」のファイルシステムは、「Tsurugi Linux」から確認できません。
②パーティション確認による保全 HDD の特定
次に以下の、fdisk コマンドで、デバイスの認識状況を確認します。
# fdisk -l

保全対象

15

​​CentOS のパーティションと設定した物理デバイスは、/dev/sda と認識されています
今回は、CentOS の作成時に、ストレージを自動構成で作成しました。昨今の CentOS の初期状態
では LVM を利用して論理的にパーティションを構成します。
そのため、詳細は割愛しますが、今回は、/dev/mapper/cs-root が、CentOS の root システムパーティションとなり、保全対象となります。
③保全 HDD のマウント
このパーティションを「Tsurugi Linux」でマウントして、読み込んでいきます。
この時、「-o ro」オプションを忘れずに付与し、“ リードオンリーモード ” でマウントしてください。
# mount -o ro /dev/mapper/cs-root /mnt/virtual1
実行結果は下記のとおりです。

保全対象

df コマンドを利用してファイルシステムとしても認識されていることを確認します。
# df -k
実行結果は次ページのとおりです。

16

保全対象

④フラグの確認
最後に、作成した himitsu.txt の存在を確認します。
# ls -la /mnt/virutal1/root/himitsu/himitsu.txt
これにより、保全対象の CentOS のディスクをマウントしたことを確認できました。
今回はここまでとなります。

おわりに
今回は、保全対象となるコンピューターを作成し、DFIR に利用可能な「Tsurugi Linux」を用いた Live起動方法を試行しました。また、起動した「Tsurugi Linux」から保全対象の HDD を確認しました。
次回、実践編では、Live 起動した「Tsurugi Linux」へ証拠保全用の USBHDD を接続し、dd コマンド、ftkimager を用いて、保全対象の CentOS ９の HDD をイメージファイルとして保全する手順を学びます（図2）。なお、本文書で保全に関する全ての手順は網羅していません。詳細については、デジタルフォレンジッ
ク協会が発行する「証拠保全ガイドライン」※を参考にしてください。
IR・フォレンジック用のブータブル
CD-ROM をセット

証拠保全用のUSBHDD などを接続

調査対象 PC

ディスクイメージの確認

記事では CentOS の仮想マシンを使用

ディスクイメージを書き出し

ブータブル CD-ROMから起動（BIOS起 動
順序の変更）

CD-ROM から起動した
OS 上で、イメージ作
成用ソフト実行→実践編で紹介する作業

図 2 HDD 保全の工程と実践編で紹介する作業※ 証拠保全ガイドライン

https://digitalforensic.jp/wp-content/uploads/2023/02/shokohoznGL9.pdf

17