サンプル

サンプル

A Guide to the

Cybercrime Investigation
Body of Knowledge

Purpose

e

サンプル
im

Cr

sk

Process

PeopleStrategy

Ri

Laws

Technology

Response

Tactics

Many of the designations used by manufacturers and sellers to distinguish their products are claimed
as trademarks. Where those designations appear in this book, and the publisher was aware of a
trademark claim, the designations have been printed with initial capital letters or in all capitals.
The authors and publisher have taken care in the preparation of this book, but make no expressedor implied warranty of any kind and assume no responsibility for errors or omissions. No liability is
assumed for incidental or consequential damages in connection with or arising out of the use of theinformation or programs contained herein.
All rights reserved. Printed in Japan. This publication is protected by copyright, and permission
must be obtained from the publisher prior to any prohibited reproduction, storage in a retrieval
system, or transmission in any form or by any means – electronic, mechanical, photocopying,recording, or likewise.
All statements of fact, opinion, or analysis expressed are the authors’ alone and do not necessarilyreflect the official positions or views of the Department of Justice (DOJ) or any other U.S. government
agency. Relevant chapters have been reviewed by DOJ to prevent the disclosure of classified or otherwise
sensitive information.
The Publisher;

サンプル

CIBOK Editorial Committee

Copyright © 2017 CIBOK Editorial Committee
All Rights Reserved. Published 2017

Sponsored by Trend Micro Incorporated.
First printing, January 20172

執筆者
Executive Editor
Shane Shook (PhD) is a well-known veteran of information security and response engagements withnearly 30 years of experience spanning government and industry IT risk management issues. He has
led forensic analysts and provided expert testimony in many of the most notorious breaches acrossmost industry sectors. He has also served as expert witness in related (international and US) federal,
civil and commercial disputes. He currently serves on the advisory boards of several emerging
security technology companies. He is a contributing author and editor of several books and a frequent
keynote or guest speaker.

Authors and Contributors
Judith H. Germano is the founding member of Germano Law LLC, a law firm specializing in advising
companies on cybersecurity governance and data privacy issues. Ms. Germano is an Adjunct
Professor at New York University (NYU) School of Law and a Senior Fellow at the New York
University Center for Cybersecurity, where she leads NYU’s task force of corporate executives andsenior government officials focusing on emerging cybersecurity issues and solutions. Previously, Ms.

サンプル

Germano served as Chief of Economic Crimes at the U.S. Attorney’s Office for the District of New
Jersey, and was a federal prosecutor for 11 years. Before joining the U.S. Attorney’s Office, she
worked at the multinational law firm, Shearman & Sterling LLP, in New York City. Ms. Germano’s
publications include Cybersecurity Partnerships: A New Era of Collaboration and After the Breach:
Cybersecurity Liability Risk.

Craig W. Sorum is a 25-year veteran of the Federal Bureau of Investigation (FBI) where he conducted
and supervised hundreds of domestic and international cybercrime investigations while assigned tofield offices in El Paso, TX, Washington, D.C., Cedar Rapids, IA and Minneapolis, MN. Craig received
awards for significant cyber investigations as a field agent and was selected as a“Federal 100
Award”winner for top IT managers in government for his accomplishments as Chief of the FBI’s
Law Enforcement Online Unit at FBIHQ. Following the Bureau, Craig was employed as a Senior
Manager of Information Security at a Fortune 500 defense and aerospace company where he was
responsible for all cyber investigations and threat intelligence matters. Craig is currently working asa cyber security management consultant.
David Cowen is a Certified SANS Instructor, CISSP, and GIAC Certified Forensic Examiner. He has
been working in digital forensics and incident response since 1999 and has performed investigations
covering thousands of systems in the public and private sector. Those investigations have involved
everything from revealing insider threats to serving as an expert witness in civil litigation andproviding the evidence to put cyber criminals behind bars. David has authored three series of books
on digital forensics; Hacking Exposed Computer Forensics (1st-3rd editions), Infosec Pro Guide to5Computer Forensics, and the Anti Hacker Toolkit (Third Edition).
Patrick A. Westerhaus joined Wells Fargo in 2016 and is heading up a team in Enterprise Information
Security (EIS), Cyber Threat Fusion Center (CTFC), working to consolidate and analyze data in aneffort to develop an enterprise program to reduce cyber, fraud, and money laundering risk for the
institution. Prior to joining Wells Fargo, Patrick was with KPMG in their fraud and forensic practiceand he spent the last 12 years in the FBI reaching the level of Supervisory Special Agent in the
Headquarters Cyber Division. During his tenure in the FBI Patrick led investigations into corporate/
government fraud, public corruption, counterterrorism, counterintelligence, cyber fraud/theft andhis last position was at the NCIJTF’s Virtual Currency Team. Patrick has a Bachelor of Business
Administration in accounting from Gonzaga University, a Masters in Forensic Science in Security
Management from The George Washington University, and a graduate certificate in International
Security from Stanford. Patrick also is a CPA and he maintains CFE & CAMS certifications.
Chris Coulter is a forensic examiner and incident responder who has led engagements in government,
industry, and individual computer crimes investigations. He is a patent holder (Digital forensic
acquisition kit and methods of use thereof - United States US 13/019,796) for technology that hedeveloped and delivered to the market to simplify the complex methods of evidence acquisition in

サンプル

forensic computer investigations. His experience includes corporate leadership in cyber security
services and products, audit and investigations experience with PwC, Stroz Friedberg LLC, MIT
Labs, and the IRS.

Eric Zimmerman is a senior director in Kroll’s Cyber Security and Investigations practice. Eric has atremendous depth and breadth of expertise in the cyber realm, spanning complex law enforcement
investigations, computer forensics, expert witness testimony, computer systems design and applicationarchitecture. He has received numerous recognitions for his work, is an award-winning author andis a frequently sought-after instructor and presenter on cyber-related topics. Before joining Kroll,
Eric was a Special Agent with the Federal Bureau of Investigation (FBI), specializing in investigating
criminal and national security-related computer intrusions, crimes against children (production,
distribution and possession of child pornography), intellectual property theft and related crimes.
Noriaki Hayashi is a Senior Researcher with Trend Micro Incorporated in Japan. He is a highly-skilled
and certified administrator and systems engineer in several computing platforms and technologies.
He has more than 17 years of systems management and security experience, including program andproject management, security research, and threat response.
Luke Dembosky is a Partner in Debevoise & Plimpton’s Cybersecurity & Data Privacy groupand formerly served as Deputy Assistant Attorney General for National Security at the JusticeDepartment’s National Security Division. Over 14 years with DOJ, he has served in various roles,
including as Deputy Chief for Litigation at DOJ’s Computer Crime and Intellectual Property

6Section. Mr. Dembosky has been a regular advisor to the leadership of the DOJ, FBI, Secret Service,
National Security Council and other agencies regarding major cyber cases and related legal andpolicy issues. He participated in the negotiation of a 2013 cyber accord with Russia and the historic
5-point agreement signed by President Obama and President Xi Jinping of China in 2015, and hasco-represented DOJ in cyber discussions at the United Nations. He was recently named Vice Chairof the ABA Public Contract Law Section, focusing on addressing technology risks to supply chain.
Mr. Dembosky is also Co-Chair of the Information Sharing and Analysis Organization GovernanceWorking Group leading the development of internal governance guidance for ISAOs as part of theWhite House initiative to establish cybersecurity threat sharing platforms across industry.
John Jolly is the Vice President of Customer Success at Syncurity. Prior to joining Syncurity John
was the Vice President and General Manager of the Cyber Security Division at General Dynamics,
where he had responsibility for a broad portfolio of products and services that included a commercial
incident response practice.

John holds an undergraduate degree in Computer Science with honors

from the University of Maryland Baltimore County and a MBA in Finance with honors from theWharton School at the University of Pennsylvania.
Philip Fodchuk leads Suncor’s Enterprise wide Information Security Program. Within Suncor, Philip

サンプル

is responsible for maturing and enhancing the information security posture of the organization, andleads the cyber security incident response function. Previously, Philip was a Partner with Deloitte’s
Cyber Security practice within the Enterprise Risk Services group. In that role he served as a
Global leader for Crisis Management for the Energy & Resources sector and was Deloitte’s Canadianleader for Cyber Security Incident Response. Philip was a sworn police officer with the Royal
Canadian Mounted Police (RCMP) and the Calgary Police Service where he worked with technologicalcrime, cyber security and incident response matters. With 20 years of diverse experience, Philip isconsidered a subject matter expert in responding to, managing and developing strategies aroundcyber security, digital forensic, incident management and organizational crisis issues.
Ian (Iftach) Amit is a seasoned manager in the security and software industry with vast experience ina myriad areas of information security- from enterprise security, through retail, to end user softwareand large back-end systems. He is an Information Security expert with experience ranging from low
level technical expertise and up to corporate security policy, regulatory compliance and strategy. Ian
is a frequent BlackHat and DefCon speaker, and founding member of the PTES (Penetration Testing
Execution Standard), IL-CERT, and the Tel-Aviv DEFCON group (DC9723).

7

書評家
A special thanks to the following individuals who reviewed the draft edition of the CIBOK. Eachprovided important feedback to assist the authors. The list of contributors and reviewers will expand
over time as this CIBOK evolves.

Reviewers
Richard Nolan, Global Managing Director of Cyber Investigations, Citi
Nicholas Peach, Senior Vice President, Information Security Executive, Bank of America/Merrill
Lynch
Ronald Ritchey, Managing Director, JPMorgan Chase & Co.
Michael Woodson, VP, State Street
G. Bobby Singh, CISO, TMX Group
Avner Ziv, CIO, Bank of Israel
John R. Riley, Division Chief (Cyber Division), US Department of Homeland Security
Goran Oparnica, Managing Director, INsig2
Benoit Piton, CISO, BNP Paribas France
Dr. Richard Schroth, Executive Director and Executive in Residence, the Kogod Cybersecurity

サンプル

Governance Center at American University

John Walton, Azure Security, Microsoft Corporation

Carmen Oveissi-Fields, Partner/Global CISO, Deloitte
Ron Gula, Founder Tenable Network Security

Michael J. Hershman, CEO, Fairfax Group / ICSSCIBOK Organizing Committee
The CIBOK was conceived and organized by the following individuals who contributed their talents
and efforts to produce this important work.
Executive Editor and Principal Author, Shane Shook
Executive Producer, Trend Micro Corporate Officer of Japan Region, Satoshi Shimizu
Executive Director, Proseed Corporation CEO, Hiroshi Nishino
Senior Coordinator, Trend Micro Incorporated Director, Masakazu YasumotoContributing Author and Project Member, Trend Micro Incorporated Senior Researcher, Noriaki
Hayashi
Style Editor and Project Controller, Trend Micro Incorporated Senior Specialist, Yuka Miyatake
Project Consultant, Proseed Corporation Senior Consultant, Tetsuri Sawada

8

CIBOK 目次
序文................................................................................................................................................................................. 3
執筆者............................................................................................................................................................................. 5
書評家............................................................................................................................................................................. 8
CIBOK 目次................................................................................................................................................................. ９

序章：本書に対する序言

19

本書の対象読者...........................................................................................................................................................20「CIBOK」の概念........................................................................................................................................................20
なぜ「CIBOK」なのか........................................................................................................................................20
図 1. サイバー犯罪捜査フレームワーク...........................................................................................................................21「CIBOK」の目的とは何か .......................................................................................................................................22
本書の目的とは.....................................................................................................................................................22
CIBOK を確立する 5 つの目的...........................................................................................................................22
図 2. サイバー犯罪捜査における実行フレームワーク....................................................................................................23
表 1. [ 実行 ] を支える [ 関連 ] フレームワーク..............................................................................................................24
図 3. サイバー犯罪捜査部門のマクロフレームワーク....................................................................................................25

サイバー犯罪とその捜査とは何か............................................................................................................................25

サンプル

サイバー犯罪とは.................................................................................................................................................25
図４. b・d・r ダイナミクス..............................................................................................................................................26
表 2. サイバー空間で行われる加害行為のカテゴリ........................................................................................................26
表 3. サイバー空間で行われた加害行為によって生じる被害者の損害カテゴリ.........................................................26
表 4. サイバー空間で行われた加害行為によって生じる被害者の損害カテゴリ.........................................................27

サイバー犯罪捜査とは..........................................................................................................................................27
表 5. 捜査活動のカテゴリ..................................................................................................................................................27
表 6. サイバー空間における犯罪の特性...........................................................................................................................27

警察政策に基づく戦略計画 ......................................................................................................................................29
価値創造のフレームワーク..................................................................................................................................29
図 5. サイバー犯罪捜査ユニットへのフレームワークの適用........................................................................................29

サイバー犯罪捜査部門の組成....................................................................................................................................30
伝統的な捜査組織体制におけるサイバー部門の検討.......................................................................................30
図 6. プリミティブな伝統的犯罪捜査組織の体制............................................................................................................30
図 7. カテゴリ型組織..........................................................................................................................................................31
図 8. マトリクス型組織......................................................................................................................................................32
図 9. 複合型組織..................................................................................................................................................................32

サイバー犯罪捜査ユニットの運営組織.....................................................................................................................33
図 10. サイバー犯罪捜査ユニットの構成図.....................................................................................................................33

捜査管理（Management/Executive）............................................................................................................34
知見収集（Intelligence）....................................................................................................................................34
調査（Investigations）.......................................................................................................................................34
事件対応（Responders）...................................................................................................................................35
証拠（Digital Forensics）..................................................................................................................................35
説明責任（Judiciary）........................................................................................................................................35
予防啓発（Public Relation, Awareness）.....................................................................................................35

9

後方支援（Support）...........................................................................................................................................36
総務人事（Administrative）..............................................................................................................................36
表 7. CIBOK の分類法.......................................................................................................................................................37
表 8. CIBOK の分類法とサイバー犯罪捜査における実行フレームワークとの関係...................................................37
表 9. CIBOK 階層構造.......................................................................................................................................................38

第１章：サイバー犯罪とその捜査

39

はじめに.......................................................................................................................................................................40
サイバー犯罪とその捜査におけるトピックス分類.................................................................................................40
図 1-1. 「サイバー犯罪とその捜査」知識領域におけるトピックスの分類................................................................40

サイバー犯罪の定義（Defining Cybercrime）.....................................................................................................41
犯罪道具としての技術（Technology as a Tool of the Crime）................................................................41
犯罪の攻撃対象としての技術（Technology as a Target of the Crime）...............................................43
犯罪から目をそらす手段としての技術（Technology as a Distraction from the Crime）...................44
コンピュータ犯罪を規定する法律（Laws Defining Computer Crimes）.................................................45
サイバー犯罪の管轄権の問題（Jurisdictional Issues Governing Cybercrime）........................................47.......................................................................48
サイバー犯罪に関する条約（Convention on Cybercrime）
MLAT（MLATs）.................................................................................................................................................49
外交的手法（Diplomacy）..................................................................................................................................49
規制（Regulation）.............................................................................................................................................49

サンプル

CSIRT....................................................................................................................................................................50
図 1-2.

サイバー犯罪を巡る国際的法制度および取り組み..........................................................................................50

サイバー犯罪捜査のベストプラクティス（Best Practices for Investigating Cybercrime）....................51
多面的なアプローチ（A Multi-Faceted Approach）....................................................................................52
内部体制（Internal Protocols）........................................................................................................................52
外部リソース（External Resources）............................................................................................................53
CIBOK の分類法との関係.........................................................................................................................................53
図 1-3.

サイバー犯罪捜査における実行フレームワーク.............................................................................................54

表 1-1.

CIBOK の分類法.................................................................................................................................................55

表 1-2.

CIBOK の分類法とサイバー犯罪捜査における実行フレームワークとの関係.............................................55

レビュー.......................................................................................................................................................................57

第 2 章：サイバー犯罪の種類

59

はじめに.......................................................................................................................................................................60
サイバー犯罪の種類におけるトピックス分類.........................................................................................................61
図 2-1. 「サイバー犯罪の種類」知識領域におけるトピックスの分類........................................................................61

サイバー犯罪とは（What is Cybercrime）...........................................................................................................61
図 2-2.

従来型犯罪とサイバー犯罪の比較（出典： GAO2007）...............................................................................62（犯罪）道具としての技術（Technology as a Tool）...................................................................................63
表 2-1. 「高齢者を狙った金銭詐欺トップ 10」に含まれるもの：..............................................................................65（犯罪）攻撃対象としての技術（Technology as a Target）.......................................................................67（犯罪から）目をそらす手段としての技術（Technology as a Distraction）...........................................72
サイバー犯罪の目的、動機、スキル（Objectives and Motivations and Skills）.........................................73
サイバー詐欺師（Cyber fraudsters）..............................................................................................................73
サイバーいじめ（ネットいじめ）（Cyber Bullies）........................................................................................74

10ハクティビスト（Hacktivists）.........................................................................................................................74
児童の性的搾取犯（Sexual Exploitation of Children offenders）..........................................................74
テロ行為（Terrorism）.......................................................................................................................................74
コンピュータハッカー（Computer hackers）...............................................................................................75
APT チーム（APT Teams）..............................................................................................................................75
CIBOK の分類法との関係.........................................................................................................................................76
図 2-3.

サイバー犯罪捜査における実行フレームワーク.............................................................................................76

表 2-2.

CIBOK の分類法.................................................................................................................................................77

表 2-3.

CIBOK の分類法とサイバー犯罪捜査における実行フレームワークとの関係.............................................77

レビュー.......................................................................................................................................................................79

第 3 章：サイバー犯罪の犯行遺物 (Artifacts)

81

はじめに.......................................................................................................................................................................82
サイバー犯罪の犯行遺物におけるトピックス分類.................................................................................................82
図 3-1. 「サイバー犯罪の犯行遺物」知識領域におけるトピックスの分類................................................................82

サイバー犯罪の侵害兆候とは（What are Indicators of Cybercrime?）........................................................83
図 3-2.

サイバー「キルチェーン」モデル....................................................................................................................84

図 3-3.

サイバー犯罪の兆候...........................................................................................................................................84

攻撃（Attack）.....................................................................................................................................................85
事前調査（Reconnaissance）..........................................................................................................................86

サンプル

不正アクセス（Compromise）...........................................................................................................................86
脆弱性攻撃 / 攻撃成功（Exploitation/Success）..........................................................................................86................................................................87
サイバー犯罪活動のステージ（Stages of Cybercrime Activities）
表 3-1.

サイバー犯罪活動...............................................................................................................................................87

標的の決定（Targeting）....................................................................................................................................87
アクセスの提供（Access Provisioning）.......................................................................................................87
列挙（Cataloguing）...........................................................................................................................................88
サービスの決定（Service Definition）............................................................................................................88
サービスの管理（Service Administration）...................................................................................................88
サービスの維持 / 防御（Service Support/Defense）.................................................................................88
サービスの冗長化（Redundancy of Services）...........................................................................................88
難読化（Obfuscation）.......................................................................................................................................89
代替サービス（Alternate Services）..............................................................................................................89
目標の達成（Attainment of Objectives）......................................................................................................89
サイバー犯罪の犯行遺物（Artifacts of Cybercrime）.......................................................................................90
図 3-4.

兆候と証拠、犯行遺物の関連性........................................................................................................................90

外部の犯行遺物（External Artifacts）..................................................................................................................91
インターネット（The Internet）.......................................................................................................................91
ディープウェブ（Deep Web）...........................................................................................................................91
ダークウェブ（Dark Web）................................................................................................................................92
ソーシャルメディア（Social Media）..............................................................................................................92
従来型メディア（Traditional Media）.............................................................................................................92
図 3-5.

サイバー犯罪における外部の犯行遺物.............................................................................................................92

犯罪ネットワーク（Criminal Networks）.......................................................................................................93
内部の犯行遺物（Internal Artifacts）....................................................................................................................9311

システム（Systems）..........................................................................................................................................93
従業員（Personnel）...........................................................................................................................................94
コミュニケーション（Communications）.......................................................................................................94
図 3-6.

内部の犯行遺物...................................................................................................................................................94

CIBOK の分類法との関係.........................................................................................................................................95
図 3-7.

サイバー犯罪捜査における実行フレームワーク.............................................................................................95

表 3-2.

CIBOK の分類法.................................................................................................................................................96

表 3-3.

CIBOK の分類法とサイバー犯罪捜査における実行フレームワークとの関係............................................96

レビュー.......................................................................................................................................................................98

第 4 章：サイバー犯罪のスコープ

99

はじめに.................................................................................................................................................................... 100
サイバー犯罪のスコープにおけるトピックス分類.............................................................................................. 101
図 4-1. 「サイバー犯罪のスコープ」知識領域におけるトピックスの分類............................................................. 101

サイバー犯罪のスコープとは (What is the Scope of Cybercrime?).......................................................... 102
図 4-2.

サイバー犯罪のスコープ................................................................................................................................. 102

図 4-3.

サイバー詐欺 / 不正組織................................................................................................................................. 104

図 4-4.

ダークネットでの取り扱い品目..................................................................................................................... 106

図 4-5.

ダークネットのプロファイル......................................................................................................................... 107

サイバー犯罪の特性（Nature of Cybercrime）................................................................................................ 107

サンプル

図 4-6.

サイバー犯罪の特性........................................................................................................................................ 111

偶発的なもの（Incidental）............................................................................................................................. 112
標的型（Targeted）.......................................................................................................................................... 112
進化型（Evolved）............................................................................................................................................ 112
サイバー犯罪で狙われるリスク（Cybercrime Risk Targeting）.................................................................. 113
図 4-7.

サイバー犯罪の動機の傾向............................................................................................................................. 115

図 4-8.

サイバー犯罪で用いられる手法の動向.......................................................................................................... 115

表 4-1.

サイバー犯罪と従来型犯罪の関係................................................................................................................. 116

図 4-9.

特性およびリスクとスコープの関係............................................................................................................. 117

金融・金銭面（Financial）.............................................................................................................................. 117
ブランド面（Brand）........................................................................................................................................ 118
業務面（Operations）...................................................................................................................................... 118
従業員（Personnel）........................................................................................................................................ 119
公的組織 vs 民間組織（Public vs. Private Organizations）........................................................................ 119
図 4-10.

公的組織と民間組織でのリスク優先順位に関する比較............................................................................ 120

CIBOK の分類法との関係...................................................................................................................................... 121
図 4-11.

サイバー犯罪捜査における実行フレームワーク....................................................................................... 121

表 4-2.

CIBOK の分類法.............................................................................................................................................. 122

表 4-3.

CIBOK の分類法とサイバー犯罪捜査における実行フレームワークとの関係......................................... 122

レビュー.................................................................................................................................................................... 124

第 5 章：証拠の情報源

125

はじめに.................................................................................................................................................................... 126
証拠の情報源におけるトピックス分類.................................................................................................................. 126
図 5-1. 「証拠の情報源」知識領域におけるトピックスの分類................................................................................ 126

12

証拠の情報源とは（What are Sources of Evidence?）................................................................................ 127
図 5-2.

証拠の情報源をとりまく関係......................................................................................................................... 127

証拠の外部情報源（External Sources of Evidence）.................................................................................... 128
図 5-3.

日本サイバー犯罪対策センターの対応モデル.............................................................................................. 128

脅威インテリジェンス（Threat Intelligence）............................................................................................ 129
フォーラムおよび掲示板（Forums and Message Boards）................................................................... 132
ボットネットコントロールパネル（Botnet Control Panels）.................................................................. 132
証拠の内部情報源（Internal Sources of Evidence）..................................................................................... 133
図 5-4.

証拠の内部情報源............................................................................................................................................ 134

ネットワーク（Networks）............................................................................................................................. 134
ホスト（Hosts）................................................................................................................................................ 136
サービス（Services）...................................................................................................................................... 142
図 5-5.

Windows イベントログのコンテンツ.......................................................................................................... 143

CIBOK の分類法との関係...................................................................................................................................... 150
図 5-6.

サイバー犯罪捜査における実行フレームワーク.......................................................................................... 150

表 5-1.

CIBOK の分類法.............................................................................................................................................. 151

表 5-2.

CIBOK の分類法とサイバー犯罪捜査における実行フレームワークとの関係......................................... 151

レビュー.................................................................................................................................................................... 153

第 6 章：証拠収集の手段

サンプル

155

はじめに.................................................................................................................................................................... 156
証拠収集の手段におけるトピックス分類.............................................................................................................. 157
図 6-1. 「証拠収集の手段」知識領域におけるトピックスの分類............................................................................. 157

証拠収集の手段とは（What are Methods of Evidence Collection?）....................................................... 157
図 6-2.

トリアージ型の証拠収集................................................................................................................................. 159

証拠の自動収集（Automated Evidence Collection）.................................................................................... 159
システム全体（アラート型ロギング）............................................................................................................. 159
図 6-3.

システム全体アラートの IOC の例................................................................................................................ 160

図 6-4.

STIX によるアラートの構成.......................................................................................................................... 161

図 6-5.

アラート型ロギング........................................................................................................................................ 162「一掃」検知........................................................................................................................................................ 162
図 6-6.

証拠収集での段階的アプローチ..................................................................................................................... 164

図 6-7.

証拠の一掃収集と集約..................................................................................................................................... 164

手作業による証拠収集（Manual Evidence Collection）................................................................................ 165
図 6-8.

証拠収集の手段................................................................................................................................................ 166

ネイティブツール（Native Tools）............................................................................................................... 167
図 6-9.

TASKLIST（PSAPI を使用）........................................................................................................................ 167

図 6-10.

サードパーティのツールで PSAPI を使用している例............................................................................. 168

図 6-11.

Linux のネイティブ NET 統計.................................................................................................................... 168

図 6-12.

ネットワーク統計を得るためにサードパーティスクリプトで PS を使用している例.......................... 169

図 6-13.

Windows の IPCONFIG と Linux の ifconfig......................................................................................... 170

図 6-14.

Windows POWERSHELL の Get-NetAdapter.................................................................................... 170

図 6-15.

Windows と Linux の netstat -ano......................................................................................................... 171

図 6-16.

Windows の TASKLIST /M と Linux の ps -df..................................................................................... 171

図 6-17.

Windows の NETSTAT -ANOB と Linux の ss -ltp............................................................................. 171

図 6-18.

Linux の tcpdump....................................................................................................................................... 172

13

図 6-19.

Windows の NETSH TRACE.................................................................................................................... 172

図 6-20.

Microsoft Message Analyzer でトレースログを開いているところ.................................................. 173

図 6-21.

Windows PowerShell のファイルシステムメタデータ........................................................................ 174

図 6-22.

Linux の lsw メタデータ............................................................................................................................. 174

図 6-23.

Windows の ROBOCOPY と Linux の dd.............................................................................................. 175

図 6-24.

Windows のイベントビューアー................................................................................................................ 176

図 6-25.

Windows の WEVTUTIL クエリユーティリティ..................................................................................... 176

図 6-26.

Windows の TypedURL（履歴）............................................................................................................... 177

図 6-27.

Windows の REGEDIT によるエクスポート............................................................................................ 177

図 6-28.

Windows PowerShell の例....................................................................................................................... 177

図 6-29.

PSRecon...................................................................................................................................................... 178

サードパーティ製ツール（Third-Party Tools）.......................................................................................... 179
図 6-30.

捜査官が収集するもの.................................................................................................................................. 179

図 6-31.

NMAP............................................................................................................................................................ 180

図 6-32.

TCPView...................................................................................................................................................... 181

図 6-33.

Wireshark..................................................................................................................................................... 181

図 6-34.

Autorun と ProcExp.................................................................................................................................. 182

図 6-35.

RawCopy と FGET..................................................................................................................................... 182

図 6-36.

osTriage....................................................................................................................................................... 183

図 6-37.

Google Rapid Response......................................................................................................................... 185

図 6-38.

各種フォレンジック（犯罪捜査）レビューツール間の類似点................................................................ 186

図 6-39.

ロギング......................................................................................................................................................... 187

サンプル

フォレンジックにおける証拠の完全性（Forensic Integrity of Evidence）................................................ 187
図 6-40.

フォレンジックの完全性.............................................................................................................................. 188

図 6-41.

Windows と Linux のネイティブハッシング........................................................................................... 189

手順の文書化（Procedure Documentation）............................................................................................ 189
ツールの認証（Tools Certification(s)）....................................................................................................... 190
保有すべき資格（Acquirer and Analyst Qualification(s)）.................................................................... 190
サイバー犯罪の種類別の証拠収集要件（Requirements by Type of Cybercrime）.................................. 191
標的別（By Target）........................................................................................................................................ 192
分類別（By Category）................................................................................................................................... 193
表 6-1.

分類別の証拠収集............................................................................................................................................ 193

証拠収集の手引き（Collection Guidance）................................................................................................. 193
証拠の連鎖の保守（Chain of Custody Maintenance）............................................................................ 196
表 6-2.

証拠の連鎖のログ............................................................................................................................................ 196

分類 / 管轄別の保有（Retention by Category/Jurisdiction）............................................................... 196
証拠の廃棄（Destruction of Evidence）.................................................................................................... 197
CIBOK の分類法との関係...................................................................................................................................... 198
図 6-42.

サイバー犯罪捜査における実行フレームワーク....................................................................................... 198

表 6-3.

CIBOK の分類法.............................................................................................................................................. 199

表 6-4.

CIBOK の分類法とサイバー犯罪捜査における実行フレームワークとの関係......................................... 199

レビュー.................................................................................................................................................................... 201

第 7 章：証拠分析の方法

203

はじめに.................................................................................................................................................................... 204
証拠分析の方法におけるトピックス分類.............................................................................................................. 205
図 7-1. 「証拠分析の方法」知識領域におけるトピックスの分類............................................................................. 205

14

集約（Aggregation）............................................................................................................................................. 205
証拠収集（Collected Evidence）.................................................................................................................. 205
脅威インテリジェンス（Threat Intelligence）............................................................................................ 206
図 7-2.

インテリジェンスの形成過程......................................................................................................................... 206

表 7-1.

フェーズに求められる情報の信頼性.............................................................................................................. 207

侵害兆候（IOC）................................................................................................................................................. 207
表 7-2.

IOC として蓄積すべきデータ要素................................................................................................................. 208

表 7-3.

被害者の「有責性（Culpabilité）」に基づく分類方法................................................................................ 209

表 7-4.

プログラムの解析手法..................................................................................................................................... 211

分析フレームワーク（Analysis Framework）.................................................................................................. 212
データモデリング（Data Modeling）............................................................................................................ 212
表 7-5.

データモデリングにより警察活動にもたらされるメリット....................................................................... 212

表 7-6.

構造化データと非構造化データ..................................................................................................................... 213

表 7-7.

メタデータの種類............................................................................................................................................. 213

データマイニング（Data Mining）................................................................................................................. 213
表 7-8.

データマイニングにおける代表的な分析モデル.......................................................................................... 214

表 7-9.

データマイニングにおいて使用されるツール.............................................................................................. 214

ETL; 抽出・変換・挿入（Extraction, Transformation, and Loading）............................................... 214
データ品質テスト（Data Quality Testing）................................................................................................ 216
表 7-10.

データの完全性を確認するためのチェック技法........................................................................................ 216

表 7-11.

データ型の一例.............................................................................................................................................. 217

表 7-12.

欠損値の構造.................................................................................................................................................. 217

表 7-13.

欠損値の削除または補完方法....................................................................................................................... 218

表 7-14.

外れ値を検出するアプローチ....................................................................................................................... 218

サンプル

自動（Automation）......................................................................................................................................... 218
表 7-15.

データベースの種類...................................................................................................................................... 218

表 7-16.

Ken Collier 氏によるデータマイニング・ソフトウェアの評価基準..................................................... 219

品質保証と品質管理（Quality Assurance and Control）........................................................................ 219
結果との関係（Interpretation of Results）...................................................................................................... 220
脅威属性（Threat Profile）............................................................................................................................ 220
表 7-17.

アクター分類（Actor Classes）................................................................................................................ 220

表 7-18.

犯行動機（Actor Motivations）................................................................................................................ 221

表 7-19.

熟練度（Actor Sophistication）............................................................................................................... 221

帰属属性（Attribution Profiles）................................................................................................................... 221
表 7-20.

帰属属性（Attribution Profiles）.............................................................................................................. 221

影響度の分析（Impact Analysis）................................................................................................................. 222
表 7-21.

影響度の分析（Impact Analysis）............................................................................................................. 222

CIBOK の分類法との関係...................................................................................................................................... 223
図 7-3.

サイバー犯罪捜査における実行フレームワーク.......................................................................................... 223

表 7-22.

CIBOK の分類法........................................................................................................................................... 224

表 7-23.

サイバー犯罪捜査における実行フレームワークと CIBOK の分類法との関係...................................... 224

レビュー.................................................................................................................................................................... 226

第 8 章：最終処理

227

はじめに.................................................................................................................................................................... 228
最終処理におけるトピックの分類......................................................................................................................... 229

15図 8-1. 「最終処理」知識領域におけるトピックの分類............................................................................................ 229

最終処理とは（What is Resolution?）............................................................................................................... 229
図 8-2.

サイバー犯罪の最終処理のモデル................................................................................................................. 230

事件の捜査と対応組織（Incident Investigation and Response Organization）..................................... 230
コミュニケーション（Communications）.......................................................................................................... 232
図 8-3.

最終処理に向けたコミュニケーション.......................................................................................................... 232

内部（Internal）................................................................................................................................................ 232
表 8-1.

内部コミュニケーション................................................................................................................................. 232

外部（External）............................................................................................................................................... 232
図 8-4.

CSIRT による情報の共有............................................................................................................................... 233

表 8-2.

外部コミュニケーション................................................................................................................................. 235

方法（Methods）............................................................................................................................................... 235
図 8-5.

コミュニケーションプラン............................................................................................................................. 236

技術的な修正（Technical Remediation）......................................................................................................... 237
役割の割り当て（Role Assignments）......................................................................................................... 237
表 8-3.  RACI 標準.......................................................................................................................................................... 237

アクション：処置（Actions）......................................................................................................................... 238
表 8-4.

技術的な修正に関するアクション................................................................................................................. 238

手続きによる修正（Procedural Remediation）............................................................................................... 242
図 8-6.

手続きによる修正............................................................................................................................................ 242

捜査（Investigate）.......................................................................................................................................... 242

サンプル

表 8-5.

電子メールの収集に関係する送達の要件（米国の例）................................................................................ 244

図 8-7.

サイバー犯罪の環境........................................................................................................................................ 245

図 8-8.

組織的サイバー犯罪........................................................................................................................................ 246

図 8-9. 「サイバー犯罪条約」の調印国....................................................................................................................... 247

逮捕（Arrest）................................................................................................................................................... 248
情報（Intelligence）の育成（Develop Intelligence）.............................................................................. 249
起訴（Prosecute）........................................................................................................................................... 250
表 8-6.

証人の種類........................................................................................................................................................ 251

サイバー犯罪の発見 / 防止に関する学びと改善............................................................................................ 252
図 8-10.

最終処理の改善.............................................................................................................................................. 252

CIBOK の分類法との関係...................................................................................................................................... 253
図 8-11.

サイバー犯罪捜査における実行フレームワーク....................................................................................... 253

表 8-7.  CIBOK の分類法............................................................................................................................................... 254
表 8-8.  CIBOK の分類法とサイバー犯罪捜査における実行フレームワークとの関係........................................... 254

レビュー.................................................................................................................................................................... 256

第 9 章：サイバー犯罪情報の共有

257

はじめに.................................................................................................................................................................... 258
サイバー犯罪情報の共有におけるトピックス分類.............................................................................................. 259
図 9-1.

｢サイバー犯罪情報の共有｣ 知識領域におけるトピックスの分類............................................................. 259

サイバー犯罪の情報共有とは（What is Cybercrime Information Sharing?）.......................................... 259
フレームワーク（Framework）............................................................................................................................ 260
図 9-2.

サイバー犯罪情報の共有フレームワーク...................................................................................................... 261

強固な基盤の重要性（The Importance of a Solid Foundation）........................................................... 261
図 9-3.

案件管理のフレームワーク............................................................................................................................. 262

16

次の階層 – コミュニティの展開（The Next Layer - Developing a Community）............................. 262
図 9-4.

AIS を使用した TAXII 共有............................................................................................................................. 264

法的留意事項（Legal Considerations）............................................................................................................. 264
管轄権（Jurisdiction）：.................................................................................................................................. 264
犯罪の種類（Type of crime）：...................................................................................................................... 265
配信 / 配布（Distribution/Dissemination）...................................................................................................... 266
基準（Standards）：........................................................................................................................................ 266
図 9-5.

情報共有の基準................................................................................................................................................ 266

管理（Governance）：.................................................................................................................................... 267
場所（Venues）：.............................................................................................................................................. 269
図 9-6.

米国における情報共有の位置相関図.............................................................................................................. 269

CIBOK の分類法との関係...................................................................................................................................... 270
図 9-7.

サイバー犯罪捜査における実行フレームワーク.......................................................................................... 270

表 9-1.

CIBOK の分類法.............................................................................................................................................. 271

表 9-2.

CIBOK の分類法とサイバー犯罪捜査における実行フレームワークとの関係......................................... 271

レビュー.................................................................................................................................................................... 273

第１0 章：管理フレームワーク

275

はじめに.................................................................................................................................................................... 276
管理フレームワークにおけるトピックス分類...................................................................................................... 277

サンプル

図 10-1. 「管理フレームワーク」知識領域におけるトピックスの分類.................................................................. 277

サイバー犯罪捜査の管理フレームワークとは（What is the Cybercrime Investigations .

Management Framework?）....................................................................................................... 277
戦略および統制（Strategy and Governance）............................................................................................... 278
全体的な方向性（ビジョン、ミッション、目的など）Overall direction (vision, mission, or .
purpose)........................................................................................................................................................ 278
戦略の構築（Building Strategy）.................................................................................................................. 279
図 10-2.

サイバー犯罪捜査の PDCA サイクルプロセス......................................................................................... 280

図 10-3.

サイバー犯罪捜査の OODA ループプロセス............................................................................................. 281

図 10-4.

サイバーインシデント対応活動と判断....................................................................................................... 282

企画立案（Planning）....................................................................................................................................... 284
表 10-1.

サイバー犯罪捜査職務の企画立案............................................................................................................... 284

パフォーマンスの見直し（Review Business Performance）................................................................ 284
企画立案 / 予算編成（Planning/Budgeting）................................................................................................... 285
予算戦略の構築（Building Budgets Strategy）......................................................................................... 285
図 10-5.

サイバー犯罪捜査の予算編成戦略............................................................................................................... 286

リスク評価（Risk Assessment）.................................................................................................................. 286
リスク管理（Risk Management）................................................................................................................. 287
図 10-6.

リスクマネジメントプロセス...................................................................................................................... 288

図 10-7.

COBIT 5 プロセス参照モデル.................................................................................................................... 288

リスク軽減（Risk Mitigation）....................................................................................................................... 289
表 10-2.

リスク査定...................................................................................................................................................... 290

図 10-8.

OWASP リスクランキング......................................................................................................................... 290

予算編成（Budget Planning）....................................................................................................................... 291
予算消化率管理（Budget Tracking）........................................................................................................... 292
リソース使用率管理（Resource Utilization Tracking）.......................................................................... 293

17

図 10-9.

簡単な予算消化率管理の例.......................................................................................................................... 293

予算管理プロセスの改善（Budget Process Improvement）.................................................................. 293
人事（Human Resources）................................................................................................................................. 293
人事組織の規定（Defining Human Resources Organization）............................................................ 294
任務の規定（Defining Jobs）......................................................................................................................... 294
人材利用計画（Human Resource Utilization Planning）....................................................................... 294
人材パフォーマンスの管理（Human Resource Performance Management）................................. 294.......................................................................................................... 295
知識技能の規定（Defining Skillsets）
図 10-10.

プロジェクト GLACY での技能とサイバー犯罪捜査職務との関係..................................................... 295

採用と雇用（Recruiting and Hiring）.......................................................................................................... 296
表 10-3.

活動内容別のサイバー犯罪捜査官の採用................................................................................................... 296

技能パフォーマンスの目標（Skills Performance Objectives）............................................................. 296
技能と知識の検証（Skills and Knowledge Verification）...................................................................... 296
パフォーマンスの管理（Performance Management）.................................................................................. 297
組織パフォーマンスの測定基準（Organizational Performance Metrics）.......................................... 297
組織の監査（Organizational Auditing）...................................................................................................... 297
業務プロセスの測定基準（Operational Process Metrics）.................................................................... 297........................................................................... 297
業務プロセスの監査（Operational Process Auditing）
パフォーマンスの測定と改善（Performance Measurement and Improvement）............................ 298
人材の管理（People Management）.................................................................................................................. 298
集団力学（グループダイナミクス）（Group Dynamics）........................................................................... 298

サンプル

学習する組織の構築（Building Learning Organizations）...................................................................... 298
コーチング（Coaching）................................................................................................................................. 298
チーム形成（Team Building）........................................................................................................................ 299
モチベーションの管理（Motivation Management）.................................................................................. 299
多文化環境の管理（Multi-cultural Environment Management）.......................................................... 299
ツールの管理（Tool Management）................................................................................................................... 300
戦略的要求に対するツールの選択（Tools Selection for Strategic Needs）....................................... 300
戦術的要求に対するツールの選択（Tools Selection for Tactical Needs）......................................... 300
ツール利用率管理とパフォーマンスの見直し（Tools Use Tracking and Performance .
Review）........................................................................................................................................................ 301
ツールのトレーニングと認定（Tools Training and Certification）....................................................... 301
CIBOK の分類法との関係...................................................................................................................................... 302
図 10-11.

サイバー犯罪捜査における実行フレームワーク..................................................................................... 302

表 10-4.

CIBOK の分類法........................................................................................................................................... 303

表 10-5.

CIBOK の分類法とサイバー犯罪捜査における実行フレームワークとの関係....................................... 303

レビュー.................................................................................................................................................................... 305

付録...................................................................................................................................................................... 307
主要な用語と定義.............................................................................................................................................. 308
参考書目.............................................................................................................................................................. 310
あとがき.............................................................................................................................................................. 321

18

序 章
本書に対する序言サンプル本書の対象読者
本書は、以下を想定読者と考える。

• 犯罪捜査を行う警察組織または法執行機関（検察、裁判所）、類似する職務執行機関（捜査権または逮捕権など警察権が認められている機関）の職員、組織における不正を調査する職員、犯罪捜査に関する経験を有しているが、「サイバー犯罪」と言われても、何をすべきかよく分からない者• 新たに組織内にサイバー犯罪捜査チームの組成を任命された責任者• すでに犯罪捜査の実働組織をマネジメントした経験があり、今後、サイバー犯罪捜査部門の責任者としての任命が期待されている幹部候補生• 短期的に高い効果を発揮することのできるサイバー犯罪捜査官をトレーニングするプログラムの研究・開発・指導を行う者

サンプル
Cyber
Security

Cyber
Investigations

PDCA

OODA

Corporative
Objectives

Law Enforcement
Objectives

Same coin, diﬀerent focus「CIBOK」の概念
なぜ「CIBOK」なのか
サイバーセキュリティとは、組織のリスクを特定し、軽減するための情報通信技術（IT）における機能である。
組 織 は「 オ ペ レ ー シ ョ ナ ル リ ス ク 1 」と そ の 管 理 に 関 し て、「 基 本 方 針（Policy）」、「 実 施 手 順（Procedure）」および「教育（Training）」を有している。そこに情報通信技術は、情報収集、処理、管理、定着、および保護の形で支援している。また、情報通信技術は享受者である下流の顧客に対し、サービ
1

内部プロセス・人・システムが不適切であること、もしくは機能しないこと、または外生的事象が生起することから生じる損失に係るリスク。バーゼル銀行監督委員会「自己資本の測定と基準に関する国際的統一化：改訂された枠組」より

20

スを提供し続ける上でのリスクを軽減する管理機能の役割も果たしている。これらの機能により、市場、
株主、出資者に対する義務が果たされ、「経営管理（Executive Management）」を満たすことができる。
組織で使用される情報通信技術は、組織要件の高まりとともに、梃（Leverage）として「攻撃対象としての技術（Technology as a Tool）」を進化させてきた。時を同じくして、組織機能を破壊または混乱させるサイバー攻撃も発生している。
こうした現状において、「最高情報処理責任者（CIO）」は情報通信技術の支援を通して業務の継続性を確保する役割を果たすことで担当幹部として「役員会議室の椅子（Seat at the Boardroom Table）」を手中に収めた。そこには情報保護と情報インフラストラクチャに対するセキュリティも含まれる。そのCIO の役割を支えるため、「最高情報セキュリティ責任者（CISO）」の役職が新設された。CISO は必要となる資源の戦略的かつ戦術的な計画策定と管理の役割を担っている。
情報通信技術の急速な発展とそれに相関する脅威によって、特定のスキル、知識そして経験を満たすために求められる要件は定義された。脅威と関連要件はそれに対応する「マーケットインテリジェンス（Market Intelligence）」（公開情報または独自情報）が形成された。それは組織にとって新たなリスクともなり、現在もそのリスクは進化を続けている。
そこで組織では「適時性捜査（Coincidental Investigative）」や「インテリジェンス（Intelligence）」に対する要求が高まり、その支援者として新たな「サイバー犯罪捜査官（Cybercrime Investigator）」の役割に期待される。

サンプル「サイバー犯罪捜査知識体系（Cybercrime Investigation Body of Knowledge: CIBOK）」は、法執行機関のみならず、組織におけるリスク管理者、情報通信技術者を支えるために必要な背景、要件について記述することを意図している。

Market/Shareholders/Partners

GC

CFO

CEO

COO

CIO

Requirements

Intelligence

Legislation
Law Enforcement
Regulators

CISO

Risk
Management

Finance

Administration

Logistics

Sales

Cybercrime
Investigator

Human
Resources

Operations

MIS

MarketingCustomer
SupportCustomers

図 1. サイバー犯罪捜査フレームワーク

21

Open Source
Proprietary

序章

「CIBOK」の目的とは何か
本書の目的とは「サイバー犯罪捜査知識体系（Cybercrime Investigation Body of Knowledge: CIBOK）」の目的は、力量を備えた、有能なサイバー犯罪捜査官が、その捜査活動において、実践している「良い実務慣行（Good
Practice）」とはなにかを示すことにある。
サイバー犯罪捜査を実行する上で一般的に身についていなければならない知識、技能、姿勢について
領域全体を体系的に分類・秩序立てを行い、「階層構造（Taxonomy）」を示すことで、それに含まれるトピックスを利用するためのアクセス手段を提供することにある。このため、各トピックに関する記述は、
そのトピックに関して、読者が参照資料を首尾良く発見するために必要な範囲だけに限定する。知識体
そのものは、本書のなかにあるのではなく、参照資料の中から見いだされるものである。

CIBOK を確立する 5 つの目的
本書は、次に示す 5 つの目的に従って確立されている。

1. 各国の法律に拠ることのない全世界で一貫したサイバー犯罪捜査に関する心得（Common Sense
Approach）を普及・促進すること。

サンプル

2. 他の体系化された実務慣行、プロジェクト管理、コンピュータサイエンス、デジタルフォレンジッ
クスについて、サイバー犯罪捜査の範囲における位置づけを詳細に示すこと。

3. サイバー犯罪捜査において実践すべき内容を、特徴付けして示すこと。

4. サイバー犯罪捜査知識体に対して、トピックスを利用するための手段を提供すること。
5. トレーニングカリキュラム開発および、業務に携わる個人の知識とスキルが高い水準のレベルであることの保証に必要な基礎を提供すること。

これらの目的を達成するために、次の活動が行われている。
第 1 の目的（全世界で一貫したサイバー犯罪捜査に関する心得）を達成するため、本書は 3 か国から参加した 12 人の執筆者、およびレビュワーによる開発プロセスによって構築されている。
第 2 の目的（他の体系化された実務慣行とサイバー犯罪捜査の範囲における位置づけを詳細に示す）を達成するために、サイバー犯罪捜査における実行フレームワークとして取り入れなければならないと認識された資料（Materials）は、図 2 に列挙された 8 つの知識領域からなるサイバー犯罪捜査における実行フレームワークによって階層化されている。

22

第

1

章

サイバー犯罪とその捜査

サンプル

はじめに
犯罪は、常に社会の一要素として存在してきた。人間が罪を犯す理由はさまざまで、目的が 1 つではない場合もある。犯罪行為の影響は社会によって解釈され、合理的な処罰が科される。犯罪者はその行為を成し遂げるために道具を使う。サイバー犯罪の場合、その目的で使われるのはコンピュータである。
企業がネットワークやインターネットにつながる以前は、侵入といえば、ハンマーやピックといった道具が使われたり、入館証や警報システムの暗証番号が盗まれて悪用されたりするか、窓ガラスが割られたりして起こるものであった。現在、企業への侵入に使われているのは、電子メールによるスピアフィッ
シング攻撃やウェブサービスに対する SQL インジェクション攻撃、ソーシャルエンジニアリング手法などである。何かを破壊して侵入するという意味では同じ犯罪であるが、その目的を果たすための道具が異なっている。いずれにしろ、罪を犯しているのはやはり人間である。
本章では、サイバー犯罪に関連する法理について触れ、それらの定義と捜査、起訴の方法をみていく。
また、内部統制の問題や、捜査および起訴の方法に影響する管轄権に関する指標（および制限事項）についても触れる。さらに、専門家がそれぞれのプログラムや方針を調整し、応用可能なフレームワークを構築できるよう、組織機関および捜査機関の役割と責任について説明する。
本章で解説する内容の習得により、読者は次の理解を得ることができる。

サンプル• 法廷や法令における「サイバー犯罪」の定義とは• サイバー犯罪捜査を管轄するのはだれか• サイバー犯罪捜査における「ベストプラクティス」とは

40

第

2

章

サイバー犯罪の種類

サンプル

はじめに
かつて、活動家は組織活動に起因する不正や不公平に対し、社会的抗議活動やデモ活動として、責任者や決定者がいる施設の前でプラカードを掲げ、公の場で自らの主張を示すことが彼らの専売特許であった。今日、このような社会的抗議はソーシャルメディア上で展開されている。より悪質な例として標的組織が運営する Web サイトなどのマーケティング情報を改変する活動もみられる。これらのデモ活動に共通する目的は、顧客が企業の製品やサービスを利用することを妨げたり、従業員の業務遂行能力を低下させることであった。今日ではその手段として、システム消去やシステムを使用不能にする
ツールを用いることでサービス拒否攻撃や妨害行為を実現し、その目的を達成している。同様にかつての恐喝は、都合の悪い情報を使用したり、企業が依存している手段やサービスをコントロールすることで実行されていたが、今やそれもランサムウェアで容易に実行されるようになっている。（民間または政
府による）諜報活動は常に存在したが、今はリモートアクセスや傍受を可能にするバックドア型トロイの木馬でそれも容易に実行されている。
サイバーで容易に実行できるのは、どのような犯罪の「種類（Type）」だろうか？

本章では、企業の妨害や敵対するブランドへの攻撃を容易に実現するために用いられたサイバーツールの使用方法から、犯罪行為者が（しばしばサイバーツールを使用して）達成しようとしている実際の目的から、捜査官の目をはぐらかすために用いているサイバーツールの使用方法に至るまで、サイバー犯罪の進化について説明している。また、そのような目的や彼らを後押しする動機、犯罪者と犠牲者のプロファイル、サイバー

サンプル

犯罪者の特徴の特定に関する説明も行っている。

本章で示されている定義は、サイバー犯罪が映し出す脅威の種類を示すことで、監査および評価項目を決定する際、また防御および保護メカニズムを決定する際に、組織のポリシー策定者にとっての一助とすることが狙いである。

本章で解説する内容の習得により、読者は次の理解を得ることができる。

• 「サイバー犯罪」とは• その目的や動機とは• サイバー犯罪者のプロファイルとは• サイバー犯罪者の組織構成とは• サイバー犯罪者が保有するスキルや知識とは• サイバー犯罪の進化経緯とは

60

第

3

章

サイバー犯罪の犯行遺物(Artifacts)

サンプル

はじめに
犯罪は必ず証拠を残すものである。犯罪は単独の行為ではなく、いくつもの行為が積み重なって違法行為となる。したがって、捜査官や組織の管理職が犯罪者の手口である TTP（Tactics, Techniques andProcedures：戦術、技術および手順）を理解できれば、サイバー犯罪の計画や準備、管理から実行を反映する形跡や手掛かりをつかむことができる。計画された犯罪か否かにかかわらず、そのような形跡が犯罪の特性を識別するのに役立つことになる。これらの形跡は、一般的に「犯行遺物（Artifacts）」と呼ばれる。
本章では、活動のステージ（段階）を示す証拠として、また犯罪に関係のある活動の兆候または属性として評価可能なサイバー犯罪の犯行遺物について詳細に説明する。さらに、捜査官がこういった犯行遺物を発見するのに役立つ内外の情報源について説明し、加えて組織の意思決定者や管理職が包括的な監査や評価のプログラム、または防衛・防御システムおよび手順を構築するのを支援する。
本章で解説する内容の習得により、読者は次の理解を得ることができる。

• サイバー犯罪の兆候とは• サイバー犯罪の犯行遺物と兆候の違いとは• サイバー犯罪活動におけるステージ（段階）とは• 捜査官が使用できるサイバー犯罪の犯行遺物の種類とは• 捜査官がサイバー犯罪の犯行遺物と兆候を見つけられる場所はどこか

サンプル

82

第

4

章

サイバー犯罪のスコープ

サンプル

はじめに
ある人物が銃撃を受けた。これは状況によっては犯罪かもしれないし、そうでないかもしれない。ある人物が意図的な銃撃を受けた。これでも犯罪でない可能性がある。その人物が撃たれた場所は戦場ではなく、住宅地であった。まだ、状況は明確でない。その人物は、デモに参加している群衆の中にいて、意図的な銃撃を受けた。もしかすると、発砲者には自己防衛といった正当な理由があっただろうか。撃たれた人物は、デモに参加している群衆に向かって演説していた。あるいは、犯罪かもしれない。撃たれたのは、マーティン・ルーサー・キングであった。いかなる犯罪も、行動と意図、その行為による影響によって定義される。犯罪の特性も同じ基準によって定義される。区別に使われるのは、基本的に犯罪の「スコープ」である。
上記のような犯罪は、撃たれた人物が戦場にいる兵士だった場合や、マーティン・ルーサー・キング
ではなく、デモに居合わせた人物だった場合には違うものになる。これは、単純に、犯罪行為の影響はスコープが幅広いからである。犯罪の脅威または（既遂の場合）結果は、犯罪の目的と達成手段によって変わる。
次のシナリオで、もっと一般的なサイバー犯罪を説明しよう。セキュリティシステムが警告を発し、あるビルにだれかが適切な暗証番号を使わずに侵入したことを知らせたとする。警察が対応に駆けつけ、ドアが開いているのを発見する。さらに調べてみると、窓ガラスの一枚が割られ、内側からドアが開けられたことが判明した。ビルに入ったすぐのところにホームレスが寝ているのを警察が見つける。同じサンプル

シナリオで、今度はホームレスがいるホールから奥のオフィスルームで明かりがついているのに気付いたとする。1 台のコンピュータは電源がオンになっていて（他のコンピュータはすべてがオフなので不審である）、コンピュータのデスクトップにあるフォルダの 1 つが開いている。「2016 年の合併」という名前のファイルが選択された状態で「コピー完了」というダイアログボックスが画面に表示されている。
ホームレスに対する尋問で、ホームレスが屋外の寒さから逃れて安全に寝られる場所を求めてビル内に入ってきたときには、すでにドアが開いていたことが分かる。

どれも人騒がせな犯罪に聞こえるかもしれないが、残念ながら、これらはサイバー空間の TTP（Tactics, Techniques and Procedures：戦術、技術および手順）によって遂行される代表的な犯罪の種類である。
殺人や社会転覆、不法侵入、知的財産窃盗、恐喝など、あらゆる種類の犯罪がサイバー技術で可能となる。しかしながら、これらの犯罪が及ぼす影響の決定的要素となるのは、最終的に、犯罪の実行と結果におけるスコープである。すでに使えなくなったボットネットサービスへの加入を試行させる無差別なコンピュータ感染は、サイバー犯罪者が企業内のコンピュータに感染を広げ、ボットネットの無人操作機に仕立て上げて利用する標的型コンピュータ感染とは、まったく別物である。後者はサイバー犯罪者が情報を盗む、企業の業績データを盗聴する、企業システムへのアクセスをボットネットの登録利用者に販売するといったことを行う。また、コンピュータをボットネットに組み込むためのコンピュータ
侵入は、ボットネットに利用者として登録し、そこで得た非公開情報をもとにインサイダー取引を行おうとする不正トレーダーとは異なる。
本章では、サイバー犯罪を理解し評価する際の「スコープ」の概念について説明する。また、犯罪の特性、（TTP で実行する目標を達成するための）標的決定の目的、公共組織と民間組織における考え方の違いも説明する。さらに、捜査・調査を指揮するための統制基準と、防衛と予防に関連する方針やシス
テム、手続きを、組織が定める上で参考となる情報を提供する。
100

本章で解説する内容の習得により、読者は次の理解を得ることができる。

• サイバー犯罪にはどのような「特性」があるか• サイバー犯罪が標的とする組織機能にはどのようなものがあるか• そのような機能に対するリスクは、官と民の組織でどのように異なるか

4

サンプル

101

第

5

章

証拠の情報源サンプル

はじめに「第 3 章 サイバー犯罪の犯行遺物」では、サイバー犯罪活動におけるステージおよび TTP（Tactics,
Techniques and Procedures：戦術、技術および手順）に関係する兆候に基づいて、サイバー犯罪の犯
行遺物について考察した。すでに述べたように、犯罪では必ず証拠が残る。証拠によっては、一般に公開されている情報源に残るものもある。なぜなら、サイバー犯罪はインターネット上の共有サービスを使って実行されることが多く、分散型の行動（他者に雇われて実行する行動や、組織的犯罪集団による行動）であったり、さまざまな形で繰り返されたりすることが理由で、使った TTP が、情報を共有する
捜査官と分析員に見えてしまうからである。それ以外の証拠は、システムや従業員、関連の活動ログなど、内部（被害者）の情報源からしか得られないものである。
本章では、捜査官がサイバー犯罪のスコープ、影響、および行動を理解するために利用できる内外の証拠の情報源について考察する。この情報は、組織の意思決定者および管理職が防衛と予防に関する方
針やシステム、手続きを決定するための監査と評価の基準を設ける際の助けとなる。
本章で解説する内容の習得により、読者は次の理解を得ることができる。

• サイバー犯罪を識別する証拠の情報源にはどのようなものがあるか• 証拠は組織内外のどこで見つけることができるか• 証拠の情報源別に、内容、信頼性、および構造はどのように異なるのか

サンプル

126

第

6

章

証拠収集の手段

サンプル

はじめに
捜査官が情報源から証拠を収集する手段は、被疑者の嫌疑が何であるのかと同じくらい、場合によってはそれよりも重要である。証拠の収集または取り扱いが不適切であったために起訴がうまくいかな
かった例は数多い。同じく、過去に集められた証拠をもとに関連犯罪の起訴が行われる例も多い。どのような種類の証拠を（また、どの情報源から）使えるかは、サイバー犯罪の特性とスコープ、攻撃手口（TTPs :Tactics, Techniques and Procedures：戦術、技術および手順）によって決まる。
本章では、各種のサイバー犯罪の特性とスコープ、TTP に応じて自動および手作業で証拠を収集する
手段を検証する。また、犯罪のスコープと影響によってはサイバー犯罪が後に他の犯罪に関係する、あるいは、司法上の要件が存在する可能性があるため、サイバー犯罪の種類ごとの要件に関連する具体的な違いを検討する。たとえば、対人の犯罪は業務妨害や知的財産の窃盗とは異なるため、そのような違いについても見ることにする。
本章では、そのような要件に応じて効果的な証拠収集の手段を作り上げるための参照フレームワーク
を捜査官向けに提示する。さらに、防衛と予防に関連する方針やシステム、手続きを、組織の管理職が定める上で参考となる情報を提供する。
本章には分析のためにコンピュータから証拠を収集する手段の説明が含まれているが、これらの作業は適格な捜査官が行うものとする。また、複数の手段とツールについて説明しているが、本章は「インシデント対応」ガイドではない。本章は、これまでに述べた証拠の情報源から犯行遺物を収集する際のサンプル

手助けとなることを主眼としている。サイバーセキュリティとサイバー犯罪捜査のトピックスは相互に関連するが、本章は IT 活動と捜査、すなわち証拠収集の違いを理解する上で読者の役に立つはずである。

本章で解説する内容の習得により、読者は次の理解を得ることができる。

• サイバー犯罪の証拠はどのように収集できるか• サイバー犯罪の証拠はどのように収集すべきか• 証拠の信頼性を確保するにはどのような手段または手順に従うべきか• サイバー犯罪の種類によって、証拠や関連手段はどのように異なるか

156

第

7

章

証拠分析の方法

サンプル

はじめに
本章「証拠分析の方法」は、サイバー犯罪捜査官が、偶然の一致として証拠を取り扱うのではなく、特定の検査によって証拠を集約し、分析するための方法を扱っている。
サイバー犯罪捜査においては、データサイエンスに基づく分析のコントロールが必要である。それは、テスト、品質保証、そして結果の開示を含む、効果的な証拠分析フレームワークの要件として定義する必要がある。
この知識領域によって、サイバー犯罪捜査官が、組織に関連するリスクと脅威を特定するために、サイバー犯罪における「範囲（Scope）」、「ステージ（Stages）」、「種類（Types）」のそれぞれを切り離して検討することが可能となる。またそれらには、「プロファイル（Profile）」、例えば「脅威アクター（Threat
Actors）」（企業や組織へ脅威を引き起こす犯罪者）やそれらによって引き起こされる「活動（Activity）」
に関する影響分析も含んでいる。
本章では、サイバー犯罪捜査官へ、証拠分析の効果的な方法を開発するために必要となる基準のフ
レームワークを提供する。
それはまた、管理職に対しては、防衛と保護に関する「政策（Policies）」、「システム（System）」、「手続き（Procedures）」を定義するための支援となる。
この知識領域は、3 つのトピックスに分類されている。「第５章 証拠の情報源」、「第６章 証拠収集の手段」と密接に関係している。

サンプル

サイバー犯罪捜査官にとって、利用可能な情報ソースから適切な証拠収集が重要であるように、証拠分析はサイバー犯罪の範囲を評価する上で重要である。

通常、捜査には制約がある。そこで、評価された範囲に従って、技術および他のリソースについて割当を行うべきである。

このとき、証拠分析における効率性と有効性とは、サイバー犯罪捜査の適切な実行と将来阻止すべき
敵との差分もしくは、同様の（もしくはより凶悪化していく）サイバー犯罪からの苦しみと将来に向け用意したサイバー防犯設備の効果との差分である。
以上の点から、本章は、サイバー犯罪捜査における他のすべての側面との関係を持っており、本書の他のすべてのサイバー犯罪捜査官知識領域とリンクしている。
本章で解説する内容の習得により、読者は次の理解を得ることができる。

• どのようにサイバー犯罪の証拠分析のために、証拠を集約、分析すべきか• どのように効率的なデータ管理と分析フレームワークを定義すべきか• どのように分析結果を入力し、サイバー犯罪の範囲を関連付けすべきか• どのような解釈が「脅威（Threat）」、「活動（Activity）」「脅威アクター（Threat Actors）」、「活動（Activity）」に関する影響分析となるか

204

第

8

章

最終処理

サンプル

はじめに
サイバー犯罪に対する効果的な対応とは何かを考えるときは、「どうすれば」事件を最終処理できるかだけではなく、「だれが」最終処理に関与すべきなのか、「いつ、どの時点で」関与するのかを考慮する必要がある。サイバー犯罪の最終処理を行うには、技術と手続きの両面で、組織的な取り組みとして評価や調査、理解、改善にあたることが求められる。不正アクセスに遭ったシステムを単に取り替えただ
けでは、効果的な最終処理とはいえない。最終処理への道のりは、事件が発生しないうちから始まっている。すなわち、組織において守るべき情報資産は何なのか、組織がどのようなリスクに直面していて、自己防衛にどれだけの時間とリソースを割く必要があるのかを前もって評価しておく必要がある。また、
サイバー犯罪から組織を守り、対応できる体制を強化するにはどのような計画とテストが必要かも把握
しておかねばならない。その上で、啓発や予防、捜査などの手段を通じて「通常の業務」における活動も守ることになる。
本章では、サイバー犯罪の捜査と対応に関係する役職と任務、アクション（処置）、手続きについて解説する。また、サイバー犯罪のスコープや犯行遺物、発生源、証拠が、組織または管轄地の方針に従って事件を最終処理する際のプロセスとどのように関わってくるかも説明する。サイバー犯罪の種類は多様であり、それによって生じる影響もさまざまである。したがって、捜査や最終処理の手法もそれぞれに異なる。
本章では、ベストプラクティスに加え、多くの管轄地で責任に関連して考慮すべき点とされる事項をサンプル

踏まえながら、サイバーインシデントへの対応および脆弱性の修正に関する枠組み案を捜査官向けに提案として示す。さらに、防衛と予防に関連する方針やシステム、手続きを、組織の管理職が定める上で参考となる情報を提供する。

なお、本章で解説する問題や処置の多くは、管轄地によって法および規制上の取り扱いが異なるので留意されたい。本章は法律的な助言の提示を目的としておらず、その用途で参考とすることはできない。
むしろ、本章の目的は、サイバーインシデントへの対応を行う場合に、犯行の内容を現地の適用法に照らし合わせて考慮すべき法的事項や実務的事項の概要を示すことにある。
本章で解説する内容の習得により、読者は次の理解を得ることができる。

• サイバー犯罪の捜査と最終処理の機能はどのように組織すべきか• サイバー捜査と最終処理の各段階においてどのようなコミュニケーション手段と権限を確立すべきか• サイバー犯罪の捜査と最終処理の計画に関与すべき人物および関与のタイミングとは• 最終処理のために整備すべきツール類、人員、および手順とは

228

第

9

章

サイバー犯罪情報の共有

サンプル

はじめに
サイバー犯罪が行われると、その活動の証拠は通常、意図的（ウェブサイトの改ざん、機密情報の開示）、または不注意（センサー、マルウェアバイナリ解析によって記録された IP アドレス）のいずれかで残る。法の執行機関、または他の捜査機関が犯罪に最初に対応する際には、特に攻撃者が自分たちの痕跡を隠そうと高度な技法を用いている場合や、本来の活動がそれ以前に始まっている場合には、利用可能な当初情報は少ないと考えられる。整然としたインシデントレスポンス（IR: Incident Response）プ
ロセスに従い、確実に分析過程の適切な管理を行い、これまでの章で触れてきたフォレンジックや IR 手法を用いることで、付加情報や証拠が浮かび上がる。当該データには、攻撃者が使用した戦術（Tactics）、手法（Technique）、手順（Procedure）と併せて、原因の特定（犯罪に関わる個人、またはグループの特定）や動機の理解、解明に役立つ情報が含まれている場合がある。
その証拠は、今後の事案や分析・起訴の効率向上のために捜査官が経験を積むには役に立つ。今日の知識、スキル、リソース（インフラさえも）、そしてサイバー犯罪組織の ｢共有（シェアリング）｣ エコノ
ミーが背景となっているため、1 か所の犯罪現場で見つかった犯行遺物だけでは、サイバー犯罪者の特定、または効果的な起訴を可能にするには十分とは言えないようである。これが、情報共有がサイバー犯罪捜査において極めて重要であるとする 1 番の理由である。情報共有を行えば、対応できていた可能性のある初期活動段階での犯行遺物や検知指標を特定して、以降の犯罪を防ぐことができるかもしれな
い。特定の種類の犯罪は、プライバシーへの配慮や、起訴に向けた付加証拠検出に極めて重要な調査上

サンプルの詳細であることから、共有できる情報の種類をやむを得ず制限する必要がある。つまり、サイバー犯罪の阻止に実際に役立つと言えども、情報がすべて共有できるわけではないということである。
本章では、サイバー犯罪の情報共有における手法、および関連する制限事項について触れている。特に、犯罪種類別の管轄地や分類の制限事項、開示担当の当局、および関連情報の共有について解説している。また、共有する情報の文書化や必要条件、および共有の時間軸や目的についてもガイダンスを示している。本章では、当該要件に基づいた情報共有のための参照フレームワークが記されている。さらに、本章は組織のマネージャにとっては、防御や保護における関連する方針、システム、そして手順の決定にも役立つようになっている。
本章で解説する内容の習得により、読者は次の理解を得ることができる。

• サイバー犯罪情報を共有する理由は何か• サイバー犯罪情報を、内部および外部と共有する理由は何か• どのような要件が、いつ共有する情報の種類を左右するか• どの場所で、どのようにサイバー犯罪情報を共有すべきか

258

第

10

章

管理フレームワーク

サンプル

はじめに
官民に関係なく、どのような組織であってもリソースには限りがあり、その中で各種機能とそれに関連する手続きを支えている。リソースは規模の効率と応用の範囲を考えて管理しなければならない。組織にとって、サイバー犯罪におけるインシデント対応や調査、最終処理は比較的新しい活動であって、これまでは（経理や総務、情報サービス、顧客サポートのように）一般的な機能として設置されていなかった。
本章では、サイバー犯罪捜査機能の管理フレームワークを構成、計画および実行するための構造と枠組みについて説明する。これまで、情報サービスは組織の各機能を支援するように拡大し、管理フレー
ムワークは各種の手順やツールを発展させてきた。サイバーツールあるいはサイバー型攻撃手口を使った犯罪の登場は組織にとって新しい局面であるが、組織はこれに対応し、サイバー犯罪の調査や予防に取り組み、関連手続きやツールを定める必要がある。階層型およびマトリックス型の組織構造は、サイバー犯罪捜査の機能と人員によって実行される活動と対応させて説明する。
本章では、そのような要件に応じて効果的に証拠を収集する方法を作り上げるための参照フレーム
ワークを捜査官向けに提示する。さらに、防衛と予防に関連する方針やシステム、手続きを、組織のマネージャー職が定める上で参考となる情報を提供する。
本章で解説する内容の習得により、読者は次の理解を得ることができる。

サンプル• サイバー犯罪捜査および最終処理の機能の目的は何か• 本機能はどのように組織し、管理すべきか• 本機能の戦略的な目標は何か• 本機能のリソースにはどのような要件があるか（スタッフ、ツール、およびコミュニティ）• 本機能のスタッフ割り当て、管理、指導 / 統制にはどのような技術的・経験的要件があるか• 本機能（およびそのスタッフ）のパフォーマンスはどのように測定すべきか• 組織をうまく機能させるには、どのような組織コミュニケーションと戦略的関与を、組織のどのチャネルに組み込むべきか• サイバー犯罪捜査および最終処理の機能は組織のどの幹部機能の配下とすべきか

276

サンプル