IDF第１４期総会記念講演会 ２０１７年５月１６日

私とデジタル・フォレンジック

東京電機大学佐々木 良一sasaki@im.dendai.ac.jp
1目次
１．デジタル・フォレンジックとの出会い
２．デジタル・フォレンジック研究会と私３．デジタル・フォレンジック教育と私
４．デジタル・フォレンジックをめぐる事件と私
５．デジタル・フォレンジック研究と私
６．今後の方向2

私のデジタル・フォレンジックとの出会い
１．出会った時期：2002-3年ごろ
２．トリガー：弁護士の知り合いが多く、デジタル・
フォレンジックやコンピュータ・フォレンジックという言葉を使っていた
３．研究に着手した理由（2003-4年ぐらい）（１）今後、データは、大部分がデジタル化（２）今後、権利意識が増大し、民事訴訟が増加＝＞ DFが重要にならないはずはない
初期の論文：上田 祐輔、佐々木 良一 他「データ喪失を想定したヒステリシス署名方式評価手法の提案」情報処理学会論文誌第45第8号pp1966-1976, （2004年8月）（ログに対する署名方法に関するもの）

3

日本におけるデジタル・フォレンジックの歴史
1996年：電子的記録解析が警察庁情報管理課の管掌になる
2000年：警察庁情報通信局に技術対策課誕生
2003年：デジタル･フォレンジックを扱う会社UBIC（現ＦＲＯＮＴＥＯ）設立
2003年：警察政策学会のパネルでフォレンジックコンピューティングがテーマに
2003年：＠policeにフォレンジックの解説（佐々木執筆）が掲載
2004年：デジタル･フォレンジック研究会発足
4背景
1995年のオウム事件がトリガー
オウムのメンバーは情報処理技術に詳しい者が多く、
公開鍵暗号等を用いファイルの防御に使用=>電子的記録解析が警察庁情報管理課の管掌に舟橋理事よりの情報5

警察政策学会のパネル
１．日時：2003年6月20日
２．テーマ：「ネットワーク社会の安全（フォレンジックコンピューティング）」（於 警察政策学会5周年記念シンポジウム）
３．出席者：
コーディネーター：
佐々木 良一（東京電機大学）
パネリスト：
宮城 直樹（警察庁生活安全局）
内田 勝也（中央大学研究開発機構）
山崎 文明（グローバルセキュリティエキスパート）
尾崎 孝良（弁護士）6日本における
デジタル・フォレンジックの歴史
1996年：電子的記録解析が警察庁情報管理課の管掌になる
2000年：警察庁情報通信局に技術対策課誕生
2003年：デジタル･フォレンジックを扱う会社UBIC（現ＦＲＯＮＴＥＯ）設立
2003年：警察政策学会のパネルでフォレンジックコンピューティングがテーマに
2003年：＠policeにフォレンジックの解説（佐々木執筆）が掲載
2004年：デジタル･フォレンジック研究会発足
7

＠Policeの記事(2003年9月16日)

8

http://web.archive.org/web/20070410010543/http://www.cyberpolice.go.jp/column/index.html

海外の動向
①1984 ：米国ＦＢＩにComputer Analysis and Response Team発足②1985 ：イギリスMetropolitan PoliceにComputer Crime
Department 設置③1986 ：ハッカーMarkus Hess のCliff Stollによる追跡にDFを初めて使用（初歩的な技術）④1989 ：Michael WhiteがForensic Tool IMDUMPを作成。
1990年代になり高度な商用ツールEnCaseやFTKが誕生⑤1992：Computer Forensicsという言葉がCollier, P.A. and Spaul,
B.J.によって初めて学術文献に登場⑥2001 ：DFに関する研究会議DFRWSの第一回会合を実施⑦2002 ：Scientific Working Group on Digital Evidence(SWGDE)が標準化のための文書“Best practices for
Computer Forensics”（2005 ISO17025に）
http://en.wikipedia.org/wiki/Digital_forensics

9

発足後の事象2004年：デジタル･フォレンジック研究会発足（同年第1回デジタル・フォレンジック・コミュニティ実施）
2005年：内閣官房セキュリティ技術戦略委員会報告書に11の重要技術の1つとしてデジタル･フォレンジックが取り上げられる
2006年：「デジタル・フォレンジック事典」日科技連発刊
2008年：第4回Ｄｉｇｉｔａｌ Ｆｏｒｅｎｓｉｃ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅを日本で実施
2010年：「実践的eディスカバリ」NTT出版発刊
2011年：ＩＤＦ講習会スタート
2012年：「証拠保全ガイドライン第2版」公開
2013年：10周年記念行事
10デジタル・フォレンジック研究会

2004年発足
会長： 井 重男 中央大学教授
副会長：安富 潔 慶應義塾大学教授

私は会員番号：００４
2011年より佐々木良一が会長
http://www.digitalforensic.jp/

11

会員の推移
250

数

209名

200
２００

正会員
2017年5月1日現在
正会員：276人
団体会員：59団体
正会員

150
１５０

団体会員

１００

100

団体会員

85名

46団体

５０50

0

25団体
2004

2005

2006

2007

2008

年度

2009

2010

2011

2012

2013

12

デジタル・フォレンジック・
コミュニティ参加者の推移
400

参加者

336名

350

297名

283名

300

251名

250名 260名

250

２０１３ ３２８名
２０１４ ３４３名
２０１５ ３３４名
２０１６ ３３２名

197名 215名 206名

200
150

参加者
100
50
0
2004

2005

2006

2007

2008

2009

2010

2011

2012

標的型攻撃の増加
遠隔操作ウイルス誤認逮捕事件

13

セキュリティ人材の不足
必要人員（34.7万人）
情報セキュリティ従事者（26.5万人）
従事者（技術力あり）（10.6万人）

従事者（技術力不足）（15.9万人）

http://www.ipa.go.jp/files/000040646.pdf
2014年7月の報告書（注）2012年の報告書では、2.2万人の不足
http://www.ipa.go.jp/security/fy23/reports/jinzai/

不足
8．2
万人

14

東京電機大学大学院における新たなセキュリティ教育
文科省「高度人材養成のための社会人学びなおし大学院
プログラム」の１つで「国際化サイバーセキュリティ学特別コース」
として認可。デジタル・フォレンジックは6つの科目の1つ。
対象は社会人20名、大学院生20名程度（実際は社会人も学生も30人以上）（１）サイバーセキュリティ基盤（２）サイバーディフェンス実践演習（３）セキュリティインテリジェンスと心理・倫理・法（４）デジタル・フォレンジック（５）情報セキュリティマネジメントとガバナンス（６）セキュアシステム設計・開発
https://cysec.dendai.ac.jp/

15

講師陣

外部講師（他大学教師、社会人が多いのが特徴）
ＤＦ：上原、櫻庭、佐々木、白濱、野﨑、八槙

16デジタル・フォレンジック①
重要性が高まっているが、従来、日本では行われてこなかった新分野の講義（１）デジタル・フォレンジック入門（電大 佐々木）
（２）ハードディスクの構造、ファイルシステム（立命館 上原）（３）フォレンジックのためのOS、Windows（立命館 上原）（４）フォレンジック作業の基礎（ＦＲＯＮＴＥＯ 野﨑）（５）フォレンジック作業・データ保全（ＦＲＯＮＴＥＯ 野﨑）（６）フォレンジック作業・データ復元（トーマツ 白濱）（７）フォレンジック作業・データ解析１（トーマツ 白濱）（８）フォレンジック作業・データ解析２（ＦＲＯＮＴＥＯ 野崎）（９）上記の演習（白濱、野﨑）
17

デジタル・フォレンジック②（10）ネットワークフォレンジック（攻撃法、マルウェア、ログの取り方）（電大 八槇）（11）上記の演習（電大 八槇）（12）代表的な対象におけるDFの方法１ 情報漏えい（トーマツ白濱）（13）代表的な対象におけるDFの方法２
不正会計、e-Discovery （ＦＲＯＮＴＥＯ 野﨑）（14）法リテラシーと法廷対応（弁護士 櫻庭）（15）デジタル・フォレンジックの今後の展開／学力考査と解説（電大 佐々木）

18

18

2015年度の実績• 2015年の受講者数は54名（社会人38名、学生16名）• セキュリティの専門家が多い• 民間企業のほか金融庁、防衛省、警察等からの参加者もいる• アンケート結果によるとDFコースはもっとも組織だった講義になっているなどと評価は高い

19

2016年度の主な変更点① モバイルフォレンジックの追加② デジタル・フォレンジック入門とフォレンジック
作業の基礎の一本化③ 演習を2回から3回に増大④ 代表的な対象におけるDFの方法が2回だったのを一本化⑤ 2016年度も好評
20デジタル・フォレンジックの教科書

佐々木 良一 編著「デジタル･フォレンジックの基礎と実践」
電大出版、2017年3月

2016/12/16

https://cysec.dendai.ac.jp/

21

先端技術・ハイテクのベストセラーに2017年4月26日現在8位

発売後
2週間程度

22

今後の方向1. 東京電機大学での講義の継続
2. WEBサイトなどで専門企業などで行っている
高度な教育とのリンクを図る
3. 他大学でのDF教育コース設立のサポート
4. 一般人向きのDF本の執筆
23

DFに関連する2つの事件
１．遠隔操作ウイルス事件
２．将棋ソフト不正使用事件

24

遠隔操作ウイルス事件の経緯（１）（１）2012年「真犯人」が、インターネット掲示板を介して、少なくとも5人が所有するPCに対して不正な指令を与えて、所有者の認識しないところでPCを操り、少なくとも計13件の襲撃・殺害予告を行わせた。
（２）2012年10月9日：弁護士・落合洋司宛に真犯人から上記事件の犯行告白を主旨とするメールが送信される。
https://ja.wikipedia.org/wiki/%E3%83%91%E3%82%BD%E3%82%B3%E3%83%B3%E9%81%A0%E9%9A%94%E6%93%8D%E4%BD%9C%E4%BA%8B%E4%BB%B6

25

脅迫文書のWEBサイトへの書き込み
犯罪予告など秋葉原無差別殺人事件に関する書き込み等

インターネット

プロバイダー

正規サイト

不正者
脅迫文書書き込み

26

脅迫文書書き込み者の推定方法
警察③そのIPアドレス
を対応時刻に使っていた
申請者の特定警察による捜査（含むフォレンジック）

インターネット

プロバイダー

正規サイト

不正者 ②到着パケットのIPアドレス管理
プロバイダーの特定①書き込み時刻と到着パケットの対応付け
27

誤認逮捕事件（2012年）
攻撃方法
クロスサイトリクエスト
フォージェリ

遠隔操作

遠隔操作

遠隔操作
28

遠隔操作ウイルス事件の概要（Torの利用による自分のIPアドレスの隠蔽）

①
②
Tor利
用
④
大量殺人
予告など
③ ⑤脅迫文不正書き込み④脅迫文不正書き込み指示

誤認逮捕
された人

正規サイト
（大阪市の
サイトなど）
29

足あとを隠すための方法（Tor）
Tor（The Onion Router）は、TCP/IPにおける接続経路の匿名化を実現するための規格、及びそのリファレンス実装であるソフトウェアの名称。
Torは①David Chaumが1981年に論文発表した匿名通信方式がMix-net（公開鍵ベース）をベースに②米国Naval Research Laboratoryがインターネット上で実用的なパフォーマンスを得るためにハイブリッド化（公開鍵＋共通鍵）
して実装したOnion（玉ねぎ） Routingを引きついで③2004年以降米国EFFで実現したもの。（約3000のサーバ）
http://ja.wikipedia.org/wiki/Tor

30

脅迫文書書き込み者の推定方法
最近はさらに、容疑者のPCに遠隔操作ウイルスが存在していなかったかなどのチェックも③そのIPアドレス
を対応時刻に使っていた
申請者の特定警察

インターネット

警察による捜査（含むフォレンジック）

プロバイダー
正規サイト

不正者 ②到着パケットのIPアドレス管理
プロバイダーの特定①書き込み時刻と到着パケット
の対応付け
31

新展開
（１）犯人と思われる人物から2013年1月5日に江の島の地域
猫にトロイの木馬ソフトiesys.exeが入っているピンクの首輪をつけたとの犯行声明（２）防犯カメラの分析により、首輪をつけたと思われる動作をしている男を発見（３）2013年2月10日に事件の真犯人と目される片山受刑者（当時30歳 ）が逮捕された。

32

遠隔操作ウイルス事件の経緯（２）（４）東京地方裁判所で4回行われた勾留理由開示（2013年
2月26日・3月21日・5月1日・5月28日）では、法廷で片山受刑者は無実を訴えた。
（５）2014年3月5日収容先の東京拘置所から約1年ぶりに保釈された。
（６）2014年3月13日に開かれた第3回公判で、検察側の証人として出廷したDFの専門家が証人台に

33

遠隔操作ウイルス片山裁判（１）
2014年3月13日に開かれた遠隔操作ウイルス事件の第3回公判で、検察側の証人として出廷した警察庁情報通信局情報技術解析課の岡田智明技官が証人台に立った。
岡田氏は被告の片山祐輔氏の元勤務先のパソコンに遠隔操作ウイルスの断片が見つかったことを解説した上で、片山氏以外の人間がこれをここに残すことは「非常に困難」との意見を開陳することで、弁護側の、片山氏のパソコンが何者かによって乗っ取られていたとする主張を否定した。

弁護側：真犯人が、片山被告を罪に陥れる目的で、外部から証拠を挿入と主張
http://www.videonews.com/marugeki-talk/675/

34

遠隔操作ウイルス片山裁判（２）＜残っていたものに関するより詳しい情報＞
被告人が職場で使っていたPCのHDDイメージを解析した
結果、ファイルスラック領域から「iesys.exe」など遠隔操作
ウイルスのファイル名やファイルパス、ビルド用ファイルが見つかったほか、ウイルスの作成言語とされたC#の開発環境「Visual C# 2010 Express」について、4回にわたりインストールと削除が行われた履歴、ウイルスファイルが頻繁に変更された
履歴などが残されていた。
http://itpro.nikkeibp.co.jp/article/NCD/20140522/558670/
35

遠隔操作ウイルス片山裁判（３）＜その当時の私の認識＞「Visual C# 2010 Expressを繰り返しインストール、削除する
ような作業を、遠隔操作の痕跡を完全に消し去りつつ、
Windows OSに残された履歴の整合性を保ち、かつPCの利用者に気づかれないようGUIを隠蔽しながら行う、というのは非常に困難。」と認識。（検察側ならびに
http://itpro.nikkeibp.co.jp/article/NCD/20140522/558670/ の記述にほぼおなじ。）
しかし、当時は真犯人が分からず、天才的な不正者ならひょっとするとできないとは言えないかも知れないとも思っていた

36

遠隔操作ウイルス事件の経緯（３）（７）2014年5月20日に真犯人がいると言う偽装がばれ片山受刑者は身柄を拘束され、東京拘置所に再び収監された。
（８）2015年2月4日、東京地方裁判所は爆破予告メールで航空機を引き返させたハイジャック防止法違反も含め、
威力業務妨害など10件の犯行を認定、懲役8年の実刑判決。

37

偽装がばれた経緯（１）5月16日の公判中、報道関係者などに対し、真犯人を名乗る「小保方銃蔵」からの電子メールが送られてきた。
これを以って男性Xも自身の無実が証明されたと訴えた。
（２）15日夕刻に男性Xが荒川河川敷に埋めているのを警視庁の特殊捜査班に所属する捜査員が目撃しており、後に警察がこれを回収して調査したところ、公判中に発信されたメールの本文が発見され、またスマートフォン
から男性Xと同じDNA型が検出された。
https://ja.wikipedia.org/wiki/%E3%83%91%E3%82%BD%E3%82%B3%E3%83%B3%E 38
9%81%A0%E9%9A%94%E6%93%8D%E4%BD%9C%E4%BA%8B%E4%BB%B6

将棋ソフト不正使用疑惑事件と私
１． 2016年10月11日、日本将棋連盟はスマートフォンなどによる将棋ソフト不正使用の疑いがあるとして、常務会において三浦九段に説明を求める。
２． 10月12日に12月31日までの公式戦出場停止処分を決定。第29期竜王戦七番勝負に出場できなくなる。
３． 10月27日、但木敬一を委員長とする第三者調査委員会の設置を決定。

Wikipediaを参照

39

将棋ソフト不正使用疑惑事件と私
４．12月26日、第三者委員会は、疑惑について処分の根拠とされていた電子機器を使用した形跡はなく、またソフトとの一致率はその性質上根拠とはなり得ず、不正行為に及んでいた証拠はないと発表。
５． 2017年1月18日、谷川浩司が会長辞任。

Wikipediaを参照

40

フォレンジック調査
１．専門業者
ＦＲＯＮＴＥＯ
２．提出を受けた電子機器
・三浦棋士が契約名義であるスマートフォン1台
・三浦棋士の配偶者が契約名義であるスマートフォン1台
・三浦棋士が使用していたデスクトップパソコン2台、ノートパソコン2台
・三浦棋士の配偶者が使用していた
デスクトップパソコン1台、ノートパソコン1台
・三浦棋士の母が使用していたタブレット1台

https://www.shogi.or.jp/news/investigative_report_1.pdf

41

FRONTEOによる調査結果の一部

https://www.shogi.or.jp/news/investigative_report_1.pdf

42毎日新聞2017年1月17日朝刊①パソコンソフトにアクセスし、してないように偽装しても専門家が調べれば
何らの証拠はかならず残る。
②本人以外のPCなどを広く調査の対象としている。
アクセスしていない
可能性が強い43

日本におけるDF関連論文の調査• “Digital Forensics”、“デジタル・フォレンジック”
でCiNiiを調査

CiNii is a searchable database service containing
academic information on articles, books, etc inJapan.
44

DF関連研究記事数の推移
Year

Number of Articles

2006

4

2007

6

2008

11

2009

13

2010

2

2011

7

2012

4

2013

11

2014

7

2015

12

Total

78

合計: 78
平均: ~8

海外誌に含まれるものは除く

45

主要な研究の位置づけ
応用⑤ NWフォレンジック②DFガイドシステム④ 証拠保全方式③ LIFT システム理論

⑥DFとプライバシー① ログの署名方式

要素的（⑦その他）

システム的

LIFT: Live and Intelligent Network Forensic Technologies46

背景• 証拠確保のためにログの収集と署名が必要に。
デジタル署名Sig = S(h(M))
where
Sig: デジタル署名
h:ハッシュ関数
S:秘密鍵を用い公開鍵暗号方式を適用

Log Data
M

Log Data
47

ログへの署名の基本方式• ログデータは間欠的に出てくるのでそのたびに署名が必要• しかし、間欠的に出てきた元のログデータと署名を同時に消去すると検知不可能
Stage 1

Digital data M1

Sig1

Stage 2

Digital data M2

Sig2

Stage 3

Digital data M3

Sig3

Impossible todetect thedeletion48

単一署名方式

Stage 1

Stage 2

L1

L1
+
L2

aaaaa
aaaaa
aaaaa
aaaaa

aaaaa
aaaaa
aaaaa
aaaaa
bbbbb
bbbbb
bbbbb
bbbbb

L1+L2+ --- +LN

Stage N

SignaturenormaldigitalsignatureschemeSignature

Signature
Signature1
Signature2

Overwrite
Signature
Signature2
Signature1
Overwrite

Signature

Signature
Signature2
Signature149

単一署名方式Stage 1

Stage 2

Stage N

L1

L1
+
L2

aaaaa
aaaaa
aaaaa
aaaaa

aaaaa
aaaaa
aaaaa
aaaaa
bbbbb
bbbbb
bbbbb
bbbbb

L1+L2+ --- +LN

Stageが深くなるとデータが増えハッシュ計算に時間
Signature
Signature2
Signature1
Signatureがかかる。
normaldigitalsignatureschemeSignature

Overwrite
Signature
Signature2
Signature1
Overwrite

Signature

Signature 50
Signature2
Signature1

ヒステリシス署名方式
Stage 1
Stage n-1

Log L[n-1]Chained dataC[n-1]Hash
Calculation

Stage nLog L[n]Log
L[n]Overwrite

ChainedChaineddatadataSignature
C = C[n]h(L[n],C[n-1])S[n]HashCalculation

Stage
n+1
Stage N

Log L[n+1]Chaining

SignatureS[n-1]

どこか
一か所
改ざん
すれば
Overwrite 検知可能

Chained data Calculation for
SignatureC[n+1]

SignatureS[n+1]

ブロックチェーンの一種。2000年ごろ開発。
岩村充、宮崎邦彦、松本勉、佐々木良一、松木武「電子署名におけるアリバイ証明問題と経時証明問題 ヒステリシス署名と電子古文書
51の概念」bit，Nov.2000，Vol32,No.11

ヒステリシス署名方式
Stage 1
Stage n-1

HashCalculation

Stage nLog L[n]Log
L[n]Stage N

Log L[n+1]Overwrite

ChainedChaineddatadataSignature
C = C[n]h(L[n],C[n-1])S[n]HashCalculation

Stage
n+1

Chaining

Chained data Signature
署名処理は効率的で安全性
Log L[n-1]C[n-1]
S[n-1]も高いが、検証段階に時間
がかかる。

どこか
一か所
改ざん
すれば
Overwrite 検知可能

Chained data Calculation for
SignatureC[n+1]

SignatureS[n+1]

ブロックチェーンの一種。2000年ごろ開発。
岩村充、宮崎邦彦、松本勉、佐々木良一、松木武「電子署名におけるアリバイ証明問題と経時証明問題 ヒステリシス署名と電子古文書
52の概念」bit，Nov.2000，Vol32,No.11

ハイブリッド署名方式（提案方式）
i=1

L11

S11

i=n

L11

L12

First Block
L1n

S1n

Second Block
Block内
単一署名

i=1

L21

S21

i=n

L11

L12

L1n

i=1

LK

SK1

K-th Block

LK

LK

LK

1

2

n

S1n

BlockごとBS1
ヒステリシス
署名
Overwrite
BS2

1

i=n

SKn

Overwrite
BSK

53

実験環境
(1) CPU: Intel Core i5(2) OS: Windows 7 Enterprise 64-bit(3) RAM: 2 [GB](4) SSD: 120 [GB](5) Development language of the computer program
for the experiment: C#

54

Parameter values
1

K: Number of blocks

200

2

n: Number of log data in each block

5

3

L: Length of each log data

1 KB

4

N: Number of log data

1000

5

L*N

1 MB

55

Measured Total Time (ms)

トータル演算時間の測定結果

ハイブリッド
署名方式が
最も効率的

単一署名
ヒステリシス
ハイブリッド署名

Total Lengthof Log Data
(KB)
56

関連論文
1] 上田、佐々木他「データ喪失を想定したヒストリシス署名
方式評価手法の提案」情報処理学会論文誌第45第8号
pp1966-1976,2004
12] 小林、佐々木「証拠性保全のための安全で効率的なログ署名方式の提案と評価」日本セキュリティマネジメント
学会誌28巻第2号2014年9月pp11-21
13] Naoki Kobayashi, Ryoichi Sasaki,「Proposal andevaluation of an evidence preservation method for use in acommon number system」nternational Journal of
Electronic Commerce Studies vol.6,no.1,pp51-68，2015
57

ネットワーク・フォレンジックとはネットワーク・フォレンジックとは、「セキュリティ上の攻撃や問題を発生させるインシデントの発生源を発見するために、
ネットワーク上のイベントをキャプチャ、記録、分析すること」である。
Marcus J. Ranum
セキュリティ・システムの設計や開発の専門家として世界的に有名。プロキシー型ファイア
ウォールの発明者として、1980年代に最初の商用ファイアウォールを提供。
58

背景• サイバー攻撃がますます激烈化・巧妙化• 不正通信の原因を確認することが不可欠に

59

研究の目的（その１）
不正な通信とPCの中で動いている
プロセスの関連を知りたい ＝＞
これを可能とするロガープログラム
Onmitsuを開発
Running processes:

60

Onmitsuにおけるライブフォレンジック
パケット情報と、PC内のプロセスの動きを関連付けて記録することにより、不正パケットが発信された原因などを明確化するツール– Windows Filtering Platform-①– PsSetCreateProcessNotifyRoutineEx - ②– PsSetLoadImageNotifyRoutine-③

Onmitsu

①

データ結合

②
③

ライブフォレンジック

ファイル保存パケット情報三村聡志、佐々木良一「プロセス情報と関連づけたパケットを利用した
不正通信原因推定手法の提案」情報処理学会DICOMO２０１４61

Onmitsuによるログ収集例
TYPE

PID

PARENT

PROCESS_LAUNCH

1832

1848

CMDLINESRCPORT
DSTIP
DSTPORT
C:¥Users¥TESTUSER¥Desktop¥SHARE¥invoice_928649039284232_9482934d88.pdf.exe
C:¥Users¥TESTUSER¥AppData¥Local¥Temp¥zdttuqbg.exe
C:¥Users¥TESTUSER¥AppData¥Local¥Temp¥zdttuqbg.exe

2068
1832
• Comparethe1896
2068 results of onmitsu and2716
752 C:¥Program Files¥Internet Explorer¥iexplore.exe ‐Embedding
2716
49446 62.113.232.16480dumpcap.
2716
49447 62.113.232.164
80

PROCESS_LAUNCHPROCESS_LAUNCHPROCESS_LAUNCHNETWORKV4NETWORKV4PROCESS_QUITNETWORKV4

2716
1896

49450

178.250.245.198

80

PID
2716

PID
1896
62

Onmitsuによるログ収集例
TYPE

PID

PARENTCMDLINESRCPORT
DSTIP
DSTPORT
C:¥Users¥TESTUSER¥Desktop¥SHARE¥invoice_928649039284232_9482934d88.pdf.exe
C:¥Users¥TESTUSER¥AppData¥Local¥Temp¥zdttuqbg.exe
C:¥Users¥TESTUSER¥AppData¥Local¥Temp¥zdttuqbg.exe

マルウエアが立ち上がったり、テンポ
PROCESS_LAUNCH
2068
1832
ラリーファイル内の他のプログラムを• Comparethe
PROCESS_LAUNCH
1896
2068 results of onmitsu andFiles¥Internet Explorer¥iexplore.exe ‐Embedding
PROCESS_LAUNCH
2716
752 C:¥Program活性化するのを知ることができる。
PROCESS_LAUNCH

1832

2716
dumpcap.
2716

NETWORKV4NETWORKV4PROCESS_QUITNETWORKV4

2716
1896

1848

49446
49447

62.113.232.164
62.113.232.1648080

また、インターネットエクスプローラの49450 178.250.245.198
80
立ち上げ後マルウエアが通信をスタートするのを知ることができる。

PID
2716

PID
1896

Onmitsuによるログは有用
63

ネットワークを用いた実験環境
Microsoft
Windows Vistaor later isrequired for theclient PC as for
the OS version.

64

64

実験結果 ①
• ログファイルサイズ– Onmitsu試験利用時間: 3 hours.
– ファイルサイズ: 10,868,492 ( 10.36 MB )“zip” による圧縮後 : 755,732 bytes ( 738.01 KB / 6.95% )– 1年間の推定データ量.
• 2,205,651,767 bytes ( 2.05 GB )最近のPCは１TB程度の容量があるので許容範囲と判断
65

実験結果 ②– Onmitsu を導入することによる処理負荷の増大は１％程度
負荷の増大は無視できる

66

現在の状況
1. Onmitsu は企業に移管されCapLoggerとして製品化
2. LAN上の複数のPC内のOnmitsuを用い、
マルウエア感染源の推定する方法を確立
3. 現在、LAN内の感染範囲の推定法を
確立中

67

関連論文
16] 三村聡志、佐々木「プロセス情報と関連づけた通信情報保全手法の提案」情報処理学会論文誌,
Vol.57,No.9,pp1944-1953,201617] 佐藤、佐々木他「マルウエアによるネットワーク内の挙動を利用した標的型攻撃における感染経路検知ツールの開発と評価」情報処理学会論文誌, Vol.58,No.2,pp1-9,2017

68

LIFTプロジェクトの概要
①計画支援
システム
知識
②状況認識知識獲得用実験環境

各種ログ
検知
システム

③LIFTシステム（標的型攻撃対応
自動運転・操作ガイドシステム）（１）基本機能：AI技術の導入（２）追加情報：
原因プロセス発見機能、など

ルータ

共同開発プロジェクト （リーダ佐々木、上原先生、高倉先生、八槙先生、
柿崎先生、日立他） 期間：2013年9月ー2018年3月（第一期）
現状での主な成果：①方式確立 ②原因プロセス発見ソフト開発
69

LIFTシステムの運用イメージ
パケット・プロセス対応付け
プログラム

実システム

イベント
徴候の
検知

追加作業・
徴候検知

対策・監視
ルール
ベースで
演算

徴候・事象関連テーブル
No
事象把握可 Yes
LIFTシステム

事象把握用追加
作業テーブル

事象・対策
関連テーブル

追加作業ガイド

対策ガイド
運用者

70

攻撃における各種名称の階層構造

71

徴候・事象関連テーブルと確信度

72

事象把握用追加作業の例
徴候：プロキシーを経由しない通信
事象シーケンス
事象候補：不正C&Cサーバへの接続②端末が不正プログラムを起動しているかどうかの確認①確信度向上のための徴候チェック

追加作業候補：候補PCの把握
候補PCのパケットと対応プロセスの関連付け（パケット・プロセス対応付けプログラムの利用）
親プロセスが不正プログラムであることの発見
73

事象・対策関連テーブル

74

ルールベースプログラムの構成

JBOSS Drools
75

ルールベースプログラムの例
JBOSS Droolsを用いた簡単なプログラムを作成

76開発プログラム実行画面

基本的適用可能性を確認

77

LIFTのGUI78

ベイジアンネットワーク利用による事象推定方式の提案
攻撃法

事象

徴候

Ｘ１

Ｙ１

Ｚ１

Ｘ２

Ｙ２

Ｚ２

Ｘｎ

Ｙｍ

Ｚｌ

通常の
処理

過去に発生した5つのタイプの攻撃が検知可能に

79

Ｓｕｐｅｒ-ＬＩＦＴシステム開発の構想• 既存の攻撃であれば、ＬＩＦＴシステムをブラッシュアップすることで、自動運転やガイドが可能な見通しに。
• しかし、新しい攻撃に対応できず、セキュリティ
技術者は常に後追いの対応しかできなかった。
• 限界を打ち破り、プロアクティブな対策が行えるようにしたい。

80Ｓｕｐｅｒ-ＬＩＦＴ研究の背景
セキュリティ対策は、被害を受けてから、対策を始める後追い型研究だった

ＡＩを高度に利用し、人間の能力を超える対応を可能に

ＡＩを高度利用し、Beyond the
Attackers技術を実現し、Proactiveな対策を可能にする研究の実施

81

新機能を持つ類似マルウエアの予測法（１）パターンマッチングによる出現の予測法
時刻
過去のマルウエアの亜種の発生パターン(主要なものを動的解析で機能把握)対象となるマルウエアの亜種の発生予測（次スライド）

亜種と
しての
類似性
を利用

新機能を
持つ類似
マルウエア
の発生予測
82

新機能を持つ類似マルウエアの予測法（２）共進化モデルに基づく新しいマルウェアの予測
基本的考え方：どちらか一方が単独で進化するのではなく、互いへの対応の中で高度化していく

進化のプロセスについてはＧＡを利用予定

Cybersec 2015 held in Indonesia

8384デジタル・フォレンジックに関する新しい動き(1)１．ディスクの変化へのＤＦの対応
ＳＳＤの普及２．ディスクフォレンジック以外のフォレンジックの重要化（１）ネットワークフォレンジック（２）メモリーフォレンジック（ライブフォレンジック）（３）クラウドフォレンジック（４）スマートフォンフォレンジック、ＳＣＡＤＡフォレンジックなど

85

デジタル・フォレンジックに関する新しい動き(2)３．E-Discoveryにおける新しい動き（１）関連ファイルの抽出のための機械学習の導入（２）抽出や処理のための日本語情報処理の高度化
４．新しい応用分野
デジタル遺品対応
５．デジタル・フォレンジックはますます重要に。会員の方々のいろいろな分野での活躍を期待。

86

デジタル遺品とは
遺品とは、個人が残した現金や有価証券など、資産価値がはっきりとわかるもの以外の物品のことをいう
Ex. 家具やコレクションなど• デジタル遺品とは、デジタルで遺された情報のこと
Ex. PCやスマートフォン上に残っているデータ
インターネットバンキングやSNSのアカウントなどの情報

87

デジタル遺品の問題点• 実際のトラブル例（FXの場合）
ＦＸ会社 「すみません、『FXトレード』ですが、ご主人のことで、実はご主人が
１５００万円の損失を出していらっしゃいまして」
奥さん 「１５００万？！どういうことですか？」
夫の死後、相場が大きく動き、為替レートが大暴落、１５００万円の損失となってしまった。
奥さん 「だから、夫は、半年前に亡くなってるんですって・・・」
ＦＸ会社 「そう言われましても、こちらには取引キャンセルの通知がきていないので、取引は続いているんです」※夫のPCから浮気写真がでてきた…といったことも起こっている※（出典）荻原栄幸 “「デジタル遺品」が危ない” ポプラ社 2015-10-0188デジタル遺品の問題点• 実際のトラブル例（FXの場合）
ＦＸ会社 「すみません、『FXトレード』ですが、ご主人のことで、実はご主人が
１５００万円の損失を出していらっしゃいまして」
奥さん 「１５００万？！どういうことですか？」
夫の死後、相場が大きく動き、為替レートが大暴落、１５００万円の損失となってしまった。
奥さん 「だから、夫は、半年前に亡くなってるんですって・・・」
ＦＸ会社 「そう言われましても、こちらには取引キャンセルの通知がきていないので、取引は続いているんです」

残すべきなものが残されず、※夫のPCから浮気写真がでてきた…といったことも起こっている
知られなくてよいことが知られてしまうという問題※（出典）荻原栄幸 “「デジタル遺品」が危ない”
ポプラ社 2015-10-01が発生。
89

支援ツールの開発①④

Windowsアカウント
実装（概要）＜本人＞

紙に残す ②ツールに

新規登録

(1)

紙を
見る

(2)
＜家族＞

②

③アカウント
自動生成⑤
本人用ツールで情報を随時登録(3)ツールをクリック（４）家族用ツールで
情報を確認

90
90

END

91

主要な研究の位置づけ
応用⑤ NWフォレンジック②DFガイドシステム④ 証拠保全方式③ LIFT システム理論

⑥DFとプライバシー① ログの署名方式

要素的（⑦その他）

システム的

LIFT: Live and Intelligent Network Forensic Technologies
92主要な論文（１）1] 上田、佐々木他「データ喪失を想定したヒストリシス署名方式評価手法の提案」情報処理学会論文誌第45第8号pp1966-1976,2004 ①
2] 佐々木他「デジタル･フォレンジックの体系化の試みと必要技術の提案」
日本セキュリティ･マネジメント学会20巻第2号、pp49-61、2006 ⑦3] 芦野、佐々木「セキュリティデバイスとヒステリシス署名を用いたデジ
タルフォレンジックシステムの提案と評価」情報処理学会論文誌、49巻２号，pp. 999-1009、2008 ④4] 高塚、佐々木他「開示情報の墨塗りと証拠性確保を両立させる
e-Discoveryシステムの提案」情報処理学会論文誌第49号第９号
pp3191-3198、2008 ⑥5] Jigang Liu,Uehara,Sasaki「Development of digital forensics practiceand research in Japan」Wireless Communications And Mobile
Computing(Wiley InterScience)www.interscience.wiley.com、2010 ⑦93

主要な論文（２）6] 藤田、芦野、上原、佐々木「不正プログラムの起動制御機能を持つ
ＤＦシステムの提案と評価」情報処理学会論文誌VOL.51,No.9、pp1507-1519、2010 ④
7] 長谷部、上原、佐々木「複数組織にまたがる疫学調査におけるプライバシー確保のための大容量タンパー装置HiGATEの適用方式の開発」日本セキュリティマネジメント学会誌VOL.25,No.3、pp24-34,2012 ⑥
8] 土方、佐々木他「デジタル・フォレンジクスを考慮した個人情報漏洩対策に関する合意形成のための多重リスクコミュニケータの適用」
日本セキュリティマネジメント学会誌26巻第1号2012年5月pp3-14,2012 ⑦
9] Shuhui Hou, Siuming Yiu, Uehara, Sasaki et al,「A PrivacyPreserving Approach for Collecting Evidence in Forensic Investigation」
InternationalJournal of Cyber-Security and Digital Forensics (IJCSDF)(Vol.2,No.1pp70-78）2013 ⑥

94主要な論文（３）10] Shuhui Hou,Sasaki, Uehara, Siuming Yiu「Double Encryption for
Data Authenticity and Integrity in Privacy-preserving Cofidential
Forensic Investigation」Journal of Wireless Mobile Networks,
Ubiquitous Computing and Dependable Application Vol.4 NO. pp104-113,2013 ⑥
11] Takashi Shitamichi, Sasaki,「Technology of Federated Identity andSecure Loggings in Cloud Computing Environment」International
Journal of Electronic Commerce Studies Vol.5, No.1, pp. 39-62, 2014 doi:
10.7903/ijecs.1157,2014 ④
12] 小林、佐々木「証拠性保全のための安全で効率的なログ署名方式の提案と評価」日本セキュリティマネジメント学会誌28巻第2号2014年9月
pp11-21 ①
13] Naoki Kobayashi, Ryoichi Sasaki,「Proposal and evaluation of anevidence preservation method for use in a common number system」
nternationalJournal of Electronic Commerce Studies vol.6,no.1,pp51-68，2015 ①
95

主要な論文（４）14] Takashi Shitamichi, Ryoichi Sasaki「A Proposal and Evaluation ofUser Centric Trusted Log Archival Architecture」International Journalof Cyber-Security and Digital Forensics (IJCSDF) 4(3): 442452(ISSN: 2305-0012),2015 ④
15] 天野貴通、上原、佐々木「デジタル・フォレンジックのためのガイド
ライン総合支援システムの提案と開発」情報処理学会論文誌,
Vol.56,No.9,pp1889-1899,2015 ②
16] 三村聡志，佐々木「プロセス情報と関連づけた通信情報保全手法の提案」情報処理学会論文誌, Vol.57,No.9,pp1944-1953,2016 ⑤
17] 佐藤、佐々木他「マルウエアによるネットワーク内の挙動を利用した標的型攻撃における感染経路検知ツールの開発と評価」情報処理学会論文誌, Vol.58,No.2,pp1-9,2017 ⑤

96