T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

超巨大組織が取り組むセキュリティ対策とガバナンス強化村山 厚 インタビュー… ………………………………………………………………………… 3
社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2023.08………………………………… 8
セキュリティツールを実践的に紹介する連載企画

Let's Try HDD 保全 ! 3. 確認編………………………………………………………………… 10●はじめに
本文書は、株式会社日立システムズ サイバーセキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security
Research Center) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. https://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2023. All rights reserved.

2

超巨大組織が取り組むセキュリティ対策とガバナンス強化村山 厚 インタビュー

日立製作所 情報セキュリティリスク統括本部 副統括本部長
取材 + 文 + 撮影＝斉藤健一

グローバルでの従業員数は約 37 万人、連結子会社も 853 社という日立グループ。この超巨大組織はセキュリティ対策やガバナンスにどのように取り組んでいるのだろうか。今回は日立製作所 情報セキュリ
ティリスク統括本部 副統括本部長の村山厚氏に話を伺った。同社ではセキュリティ対策の取り組みを外部に向けて公開しているが、今回のインタビューは、公開情報の行間が垣間見える一歩踏み込んだものとなっている。
した影響で帯域が逼迫し、ほとんどのネットワー
2000 年代初頭から続くクが麻痺して使えなくなるという状況に陥りまし

セキュリティとの関わりた。こうした時期にセキュリティを担当することとなったのです。Nimda が登場したのは、Code

斉藤（以下Red II の 1 ヵ月後だったのですが、こちらも感染）：まず経歴を簡単に教えてくださを防ぐことはできず、何日も対応に追われることい。
）：1986 年、日立情報システムズ（現になったのを覚えています。当時は感染の端緒も日立システムズ）の前身である日立情報ネット

わかりませんでしたし、ウイルス・ワームとはどワークに入社し、その後、2006 年に日立製作所

んなものか、というところから始まりました。再へ転属しました。日立情報ネットワークでは、ネッ発防止策の検討や従業員の啓発、定常的なセキュトワークの仕事に従事していました。主に内線電

リティパッチの適用など、すべてをゼロから始め

話網やデータ交換網などの設計を行ったり、そう

ました。

村山（以下

した設備を工場に導入したりするなどの仕事を 14

日立製作所のインシデントレスポンスチーム～ 15 年ほど続けていました。

HIRT（ハート）に関わるようになったのはいつ頃ですか。

セキュリティと関わるようになったきっかけは何でしたか。

その後の事です。当時、HIRT はすでに発足し2001 年に相次ぎ登場して世間を騒がせた Codeていましたが、社内チームとの連携が活発ではあRed II ※ 1 や Nimda ※ 2 といったインターネット

りませんでした。しかし、社内のインシデントとワームがきっかけです。われわれも大きな損害をあわせて HIRT を活性化していきたいという考え被りました。当時、ビジネスでのインターネット

から、日立製作所に在籍し、HIRT 発足に携わっへの依存は現在ほど高くなく、社内では専用線をた寺田真敏氏（現 東京電機大学教授）と積極的に引いていました。ところが、各所がワームに感染連携するようになりました。HIRT が FIRST（the※ 1 Code Red II（コードレッド 2）：2001 年 7 月に大流行したネットワークワーム。それ以前に流行した Code Red と同様に Microsoftの IIS サーバーの脆弱性を利用して感染を広げるが、Code Red と Code Red II はプログラムとしては全くの別物。
※ 2 Nimda（ニムダ）：2001 年 9 月に感染を広げたネットワークワームで、ファイルに感染するコンピューターウイルスでもある。名称は「admin」を逆から綴ったもの。Windows の脆弱性や Code Red などのワームによるバックドアを利用など、複数の感染方法があり、短期間にインターネットへの感染が広まった。

3

Forum of Incident Response and Security Teams）※3

日立グループのガバナンス構造はピラミッド型に加盟した 2005 年の頃のことはよく覚えてであり、われわれが直接統制する範囲はその上部います。当時から、HIRT は社内の IRT（Incidentにあたる、それぞれのビジネスユニット（日立でResponse Team）、製品の IRT（現在でいうところ

は事業ごとに独立した事業計画などを行う）やグの PSIRT）、そして SIer としての IRT という性質を

ループ企業のトップになります。また、それぞれ持っていました。寺田氏とは 2000 年代初頭から、の組織にはセキュリティ責任者が配置され、下部組織活性化に向けて尽力してきました。

組織の統制を担当しています。人数に関して言え

現在は、日立製作所 情報セキュリティリスク

ば、前述の 34 名が担当しているのは、各ビジネ統括本部に所属されていると伺っています。このスユニットやグループ企業のセキュリティ責任者

部署は 2017 年の WannaCry 事案の後に発足した数百名で、これらの責任者が連絡窓口となってい部署とのことです。WannaCry 事案に関しては、る担当者は海外も含むグループ全体で数千名とな

日立評論の「サイバー攻撃事案の教訓と社内堅牢ります。

化の取り組み」 ※ 4 という文書で取り上げられてありがとうございます。情報セキュリティのガいます。この文書では、感染の状況・影響範囲・バナンスについては、後ほどお話を伺いたいと思

セキュリティ対策・ガバナンスの強化などが、技います。

術面・統括面からまとめられており、大変参考に
サイバーレジリエンス強化の取り組み

なりました。ちなみに、情報セキュリティリスク
統括本部には何名の方が在籍されているのでしょうか。

村山さんは以前、「日立社内におけるサイバー全体で 34 名です。業務範囲としては、情報セ

レジリエンス強化の取り組み」をテーマに講演さキュリティのガバナンス、情報セキュリティ対策

れています。また、同テーマの文書が日立評論にだけでなく、個人情報の取り扱いやプライバシーも掲載されています※ 5。今回のインタビューにあに関わる個人情報データ保護も担当しています。

たり、この文書を拝見しました。文書の前段では、「サイバー攻撃事案の教訓と社内堅牢化の取り情報セキュリティ対策の変遷について触れられて組み」によると、日立グループの情報セキュリティ

います。2011 年の標的型攻撃への対応を目的としガバナンスを統括する部署とのことでしたので、た境界面の情報窃取対策や、2017 年の WannaCry

予想していた人数よりも少ないと感じました。

事案を受けたシステム破壊対策の強化、そしてセ

村山 厚（むらやま・あつし）2001 年より日立グループにおける IT セキュリティの実装および日立グループ CSIRT である Hitachi Incident Response Team（HIRT）
でサイバーセキュリティインシデント対応業務を担当。その後、情報セキュリティ全般の戦略・マネジメント業務やサイバーセ
キュリティ対策、監視業務を担当し、2017 年 10 月に情報セキュ
リティリスク統括本部サイバーセキュリティ技術本部長に就任。
現在は同統括本部副統括本部長として情報セキュリティ戦略およびサイバーセキュリティ技術の統括業務に従事。
※ 3 FIRST（the Forum of Incident Response and Security Teams）：世界中の CSIRT (Computer Security Incident Response Team) 同士の情報交換やインシデントレスポンス業務の協力関係を構築する目的で 1990 年に設立されたフォーラム。政府機関・民間企業・学術機関をはじめとする、多種多様なセキュリティチームが結集している。
※ 4 日立評論 2018 vol.100 No.3「サイバー攻撃事案の教訓と社内堅牢化の取り組み」
https://www.hitachihyoron.com/jp/archive/2010s/2018/03/05b02/index.html※ 5 日立評論 2021 vol.103 No.6「日立社内におけるサイバーレジリエンス強化に向けた取り組み」
https://www.hitachihyoron.com/jp/archive/2020s/2021/06/06b02/index.html

4

味では『協創』の一環なのではないかと思いました。

キュリティガバナンスの強化などです。文書の背景には、コロナ禍に伴うリモートワークの導入やまさしくそう考えています。セミナーでの講

働き方の変化が影響しており、それによってネッ

演以外にも、お客様から「日立はセキュリティやトワークの使用方法が大きく変化していることがガバナンスに対してどのように取り組んでいるの挙げられます。今回の取り組みは、過去の重要なか？」などと質問を受けることがあります。きっ取り組みと比較してどのような位置づけになるの

かけは WannaCry の事案です。当該事案が発生しでしょうか。

た際の対応策や遭遇した困難について、可能な限業務システムを自組織で開発・運用していたり正直に情報共有するようにしています。こうし時代には、従来の境界型セキュリティが有効でして情報共有を行った企業は 180 社ほどになりまた。しかし、システムが急速にクラウドに移行しす。

ていく中、その効果は限定的になってきました。

サイバー攻撃事案という秘匿しておきたい情報

また、人間の心理として「境界のセキュリティがをあえて開示したからこそ情報共有の輪が広がっ

強固だから安全だろう」と考えがちですが、現在たのだと思います。

のサイバー攻撃の手法を見ると、侵入後のネット『協創』に取り組む背景には、日立が経験したワーク内で横展開するものが非常に多くなってい事案を他社には経験してほしくないという思いをます。このような状況を考慮し、従来の境界型セ強く持っているというのはありますね。

キュリティを包含するハイブリッドなゼロトラス

次に『自分ゴト化』について伺います。背景にトセキュリティ対策の実装を開始しました。

はコロナ禍によって働き方が大きく変化し、テレワークの導入が進む中でのセキュリティ意識の向お話を伺って感じたのは、今回の取り組みが上があるように思うのですが。

2011 年や 2017 年のものと同様に大きな役割を果たしているということです。また、文書の方は、この取り組みについてはやや話が長くなりま

セキュリティ対策の取り組みに『統制』『協創』『自す。2000 年代以降、情報セキュリティの事故には分ゴト化』という新たな視点を取り入れたことがUSB メモリやノート PC などの紛失や盗難、ある

とても印象的でした。それぞれの要素を見ていく

いは電子メールの誤送信などの、いわゆるヒューと、『統制』ではゼロトラストセキュリティを実

マンエラーに起因するものが圧倒的に多かったの現する上で重要な要素である「認証」「エンドポです。当時、データの暗号化技術もあまり普及し

イントのセキュリティ」「サイバー統合監視」のていなかったため、ノート PC を紛失すると、そ強化が挙げられています。『協創』については日の被害は大きかったのです。

立グループにおいても使われていると認識してい確かに。個人情報保護法が施行された 2000 年ます。この言葉について簡単に説明していただけ

代前半から、多くの組織が紛失を公表するようにますか。

なりました。

セキュリティ活動における『協創』は、社内だ

こうした事故が増えると「PC 持ち出し禁止」

けでなく、社外の各分野とセキュリティエコシス

などの「××するべからず」の規則が増えること

テムを共に創出するということで考えています。

となります。当然、セキュリティ対策により業務

2017 年の WannaCry の事案を経験してわかったの進行に制限がかかるため、従業員には不評となことは、セキュリティは IT 部門のみの課題ではります。統計的に見れば、セキュリティ対策のルーなく、広報・法務・渉外などの多岐にわたる部署

ルを守らずに重大事故につながるケースはほんのとの情報共有や連携が不可欠であるということでわずかですから、従業員の不満も理解できます。

す。これは、日立グループの内部に限らず、国やとはいえ、事故を起こしてお客様にご迷惑をおか他の企業を始めとしたさまざまな社会組織との関けするリスクを無視するわけにはいきません。

係をしっかり確立することも含まれています。

セキュリティ対策の強化と利便性の低下にどう折り合いをつけるかは難しい問題です。

日立評論での文書掲載やセミナーなどで積極的に発表していくことも、外部とつながるという意「××するべからず」だけでは従業員も納得し
5

ほどの参加がありました。

ません。「なぜ禁止するのか」という前段階の理由を周知することが重要だと感じました。これが文書では簡単にまとめられていた事柄も、実際

2008 年ごろの話です。

に話を伺ってみるととても興味深いものだと感じました。

そこからかなりの時間が経過していますね。
はい。これまで人員の都合で十分に対応でき

超巨大組織の情報セキュリティガバナンスなかったのですが、メンバーが徐々に増えてきたのを機に、改めて取り組むこととしました。しかし、多くの従業員は「セキュリティは面倒」と感2022 年度の情報になりますが、日立グループ

じているため、従来の教育方法や e ラーニングなの従業員数は約 36 万 8000 名で、日本国内が 15

どでは効果が出るとは考えにくいとも思っていま

万 7000 名、海外が 21 万 1000 名。連結子会社数した。そこで、まったく別の方向からアプローチは 853 社で、国内が 157 社、海外が 696 社となっしてみようという試みが「自分ゴト化」なのです。

ています。この超巨大組織の統制を情報セキュリ

具体的にはどのように取り組まれたのですか。

ティリスク統括本部の 34 名の方々が担当されてこれまでの e ラーニングの教材を見返してみるいるわけで、さまざまな苦労があるのではないかと、一般ユーザーには必要のない深い技術的内容と思います。特にグローバルの取り組みについてまで解説されているなどがあり、この教材で共感伺いたいと思います。

を得るのは難しいと思いました。そこで今回の取先ほどお話ししたとおり、情報セキュリティリ

り組みでは、意識改革としてセキュリティに興味

スク統括本部が担当するのは、日立製作所（以下を持ってもらうことから始めました。Harry（ハコーポレート）を頂点とした組織のピラミッド構リー）というキャラクターを登場させて身の回り造の上部にあたる、それぞれのビジネスユニットのセキュリティを意識してもらうことに努めましやグループ企業のトップです。グローバルのガバた。

ナンスでは、情報セキュリティエキスパート（以下 ISE：Information Security Expert）を各地域（米キャラクターを使った親しみやすさは大切です

州・欧州・アジア・中国・インド）に設置して、ね。
また行動改革として GREEN AEGIS という社内

現地法人のガバナンス強化支援を行っています。

コミュニティ活動もスタートさせています。こちISE とはどのような組織なのでしょうか。

らはどちらかというと『協創』に近い取り組みで、ピラミッド構造の中にはさまざまな会社が含ま

セキュリティに興味を持った人たちが自発的に集れています。そこで、ピラミッド構造のタテの指まり、自由に意見交換できる場を提供しています。

示系統とは別に、現地法人をサポートする部隊が本来は対面でのイベントなどを行いたかったので

ISE です。いわば各地域をヨコ方向からサポートすすが、コロナ禍でオンライン中心の活動となりまる存在になります。

した。

各地域での ISE の人数はどれくらいなのですか。
また、日立グループ内に各地域の ISE をサポート

オンラインでは具体的にどのような活動をされする部署は存在するのでしょうか。

たのですか。
大規模なリモートイベントも企画しました。セ

ISE は各地域ともに数名です。各地域でセキュ

キュリティに興味のない人にも参加してもらおう

リティに特化した人材などによる兼務であり、と、基調講演にはセキュリティの難しい話ではな

コーポレート所属となります。したがって、ISE

く、一見するとセキュリティとは無縁に思えるのをサポートする部署は存在しませんが、各地域のですが、講演を読み替えると実はセキュリティのISE 間での連携やセキュリティの情報共有などは話になっているなど、テーマ選びを工夫しました。

コーポレート主体で行っています。

また、サイバー脅威インテリジェンスの専門家の

地域ごとに仕事のやり方に違いなどあります

講演や若手社員によるセキュリティ技術のセッか。

ションなども設けました。任意参加ですが 800 名

やはり地域ごとに異なります。
6

他にもサプライチェーンのガバナンスもあります。こちらについて何かお話いただけることがあればお願いします。
サプライチェーンを対象としたサイバー攻撃により、工場の生産ラインが停止するなど、グルー
プ全体に影響を及ぼした事例は数多く存在します。サプライチェーンのセキュリティに関する議
論は、もはや避けることはできません。セキュリ
ティ対策の実現には多くの課題があることも理解しています。
例えばセキュリティ対策の費用などでしょうか。
それも 1 つの要因ですね。サイバーセキュリ
ティは奥が深いというか、どれだけ対策を講じてもキリがない部分があります。そうした中で、サプライチェーンの企業の方々に対してこちらが親身になって対応していかなくてはならないというす。

ことです。これはサプライチェーン企業の方々との『協創』とも言えます。

経産省のいう「プラスセキュリティ人材」ですね。

セキュリティ人材育成の取り組み

はい。では具体的に人材育成にどう取り組むかと考えると、生産・製造現場で働く技術者の方にセキュリティを学んでもらうか、IT セキュリティ

最後にセキュリティ人材育成について、取り組の技術者に生産・製造の現場を学んでもらうかとまれていることなどを教えてください。
サイバーセキュリティの技術分野における人材いう問題にいきつきます。当然、前者の方が早い

育成は、長らく取り組んできました。HIRT のメンわけです。これは生産・製造現場に限りません。

バーなどもその一例です。加えてもう 1 つ、これ

エリアごとに即したセキュリティプログラムを作

も WannaCry の事案がきっかけになっているので成・配布して人材育成に取り組んでいるところですが、現場の中心者としてリーダーシップを発揮す。

できるセキュリティ人材が必要とされています。

ありがとうございます。

実際、セキュリティ事故というのは、ビジネスユ

他にも足りないと言われているのが、いわゆるニットや各社の現場で発生しています。検知は「橋渡し人材」です。セキュリティの技術がわかっ

SOC でできたとしても、検知した内容を伝えて理ていないと話ができませんから、コーポレートだ

解してもらい、初動対応をお願いするのは現場でけではなく、各ビジネスユニットやグループ企業

セキュリティを取りまとめているメンバーです。

にも必要なのです。こうした人材の育成も今後のそのメンバーが適切に動けないと、事故対応に遅ポイントになると思います。

れが生じてしまいます。この観点から、そうした

本日はありがとうございました。

対応ができる人材を育成する必要があると思いま【参考資料】情報セキュリティ報告書 2022 https://www.hitachi.co.jp/sustainability/download/pdf/securityreport.pdf

7社会のさまざまな動向を把握し、リスクの変化に対応したセキュリティ体制を構築

HISYS CSI（Cyber Security Intelligence）Watch 2023.08
文＝ SHIELD Security Research Center
コンテナ船積卸作業、プランニング、コンテナ保管・
ランサムウェアによる搬出管理、ヤード作業管理、保税管理などコンテ

名古屋港システム障害について

ナターミナルで必要とされる各種業務を効率化するシステムとして採用されている。さらに、このシステムを通じて、各ターミナル内の端末機器や【概要】

港内のコンテナターミナル、中央管理ゲート、税

2023 年 7 月 4 日、国内有数の貿易港である名関や NUTS-Web が連携している。

古屋港でランサムウェア攻撃によるシステム障害が発生した。障害発生時は、ターミナルへのコン

障害発生当日、協会職員はコンテナ重量の計測

テナ搬出入作業が停止され、物流にも影響がおよ

機器の不具合をきっかけにシステム障害を認識しんだ。しかし、障害から復旧までの時間は約 2 日た。当日の時系列を見ると、障害の把握、外部へ

半と名古屋港の BCP（Business Continuity Plan：の情報公開、復旧計画の開示、復旧までの時間は事業継続計画）の想定内に収まり、当港の災害に

約 2 日半だった（表）。警察庁の統計情報による対する BCP 対策の堅ろうな体制がうかがえる。各と、日本国内でランサムウェアによる攻撃を受け関連機関との連携体制や行動計画をもとに考察すた組織の内、復旧を 1 週間以内で実施できた組織

る。

は 20％程度である。これと比較すると、NUTS の対応は、多様なシステムと連携しているにも関わらず迅速な対応であったことがわかる。また、名【内容】
7 月 4 日、名古屋港のコンテナターミナルで運古屋港の BCP には、おおむね 72 時間で応急対応用されている統一ターミナルシステム（Nagoya

が完了する計画が記載されており、今回の 2 日半

United Terminal System 以下 NUTS）でランサム

での復旧は想定内だったと言える。

ウェアによる障害が発生した。感染したランサム

なお、ランサムウェアの感染原因は現時点ではウェアは、ロシアを拠点とするサイバー犯罪集団

公表されておらず、5 ヵ所あるターミナル事務所「Lockbit」によるものとみられている。NUTS は、の PC の他、協会に加盟する一部の事業者からマ

表 ランサムウェアによる名古屋港システム障害の時系列

日時
7 月 4 日 6:30 頃

出来事
ランサムウェアによるシステム障害が発生

同日

職員が出社し、システム障害を把握

朝

同日プリンターから約 100 枚の脅迫文が印刷される同日

名古屋港におけるコンテナ搬出入の停止発表

7月5日

昼頃

5 日の終日コンテナ搬出入停止を発表

同日

昼過ぎ

ランサムウェア感染を公表

7月6日

7:00

NUTS システムの復旧作業完了

同日

15:00

TCB( 飛島コンテナ埠頭株式会社 ) でコンテナ搬出入再開

同日

17:30

NUCT( 名古屋ユナイテッドコンテナターミナル ) でコンテナ搬出入再開

同日

18:15

飛島東側の 3 ターミナルでコンテナ搬出入を開始し全面復旧
8

ルウェアが侵入した可能性もあるとして調査中でまた、2022 年 4 月に発足されたサイバー警察局

ある。

による捜査指導、解析、情報集約・分析、対策な

名古屋港では以前から BCP が綿密に整備され、どの一元的な所掌を背景に、県警の支援の下、障訓練も実施されていた。同港は日本有数の国際港

害の把握から情報開示までの初動対応も迅速に行湾であり、中部圏の経済活動を支えていることかうことができたと考えられる。
今回の障害はランサムウェア感染によるもので

ら、災害時における機能維持を重視してきた背景あったが、障害発生から復旧までの時間は 2 日半がある。
同港の BCP には、各関連機関との連携・協働と迅速で、最終的には同港の BCP の想定内での復体制が示されており、官民含めた役割分担も確立

旧となった。サイバーセキュリティを考える上でされている。また同港では、以前から愛知県警の災害対策や訓練の重要性を改めて示した事例と言アドバイスに従い、事前にデータのバックアップ

える。

も取得していた。バックアップデータを保存して一方、バックアップからの復元には課題があっいたサーバーからも一部ランサムウェアが検出さた。BCP の観点から早期復旧には、バックアップ

れ、駆除に時間を要したものの復旧は成功した。

のシステム化と定期的なリストアなどの訓練が改めて必要だと言える。

県警との連携・協働体制を活かしたことで、身代金を支払わずにシステム復旧できたと言える。
【情報源】

https://www.port-of-nagoya.jp/_res/projects/default_project/_page_/001/001/723/kowanbcp202203.pdf

9

セキュリティツールを実践的に紹介する連載企画

Let's Try HDD 保全！

3．確認編

文＝ SHIELD Security Research Center

はじめに
各種セキュリティツールを実践的に紹介する連載企画、「レッツトライツール」が Vol.50（前々号）よりスタートしました。第一弾では「HDD 保全」の工程を 3 回にわたり紹介します。マルウェアなどの感染が認められ、後の解析のために HDD の現状保全が必要となる場面などで使われています。
第 3 回目となる今回は、「確認編」として、リムーバブルメディアが接続できないなど、ネットワーク
越しにイメージファイルを取得する手順と、保全したイメージファイルを確認する方法を学びます（図1 5〜6）。
保全対象の HDD の確認などを行った「準備編」や、保全対象 HDD のイメージファイルをとして実際に保全した「実践編」については、本誌バックナンバーに掲載していますので、必要に応じてご参照く
ださい※。
なお、本稿では保全対象を HDD としています。HDD 以外の対象には適用できない解説も含まれていますのでご注意ください。
IR・フォレンジック用のブータブル
CD-ROM をセット

証拠保全用のUSBHDD などを接続

調査対象 PC

ディスクイメージの確認

記事では CentOS の仮想マシンを使用

ディスクイメージを書き出し

ブータブル CD-ROM
から起動（BIOS起 動
順序の変更）

CD-ROM から起動した
OS 上で、イメージ作
成用ソフト実行→確認編で紹介する作業
図 1 HDD 保全の工程と確認編で紹介する作業※ 1 準備編

https://www.shield.ne.jp/ssrc/document/doc/SSRC-HJ-202306.pdf

確認編

https://www.shield.ne.jp/ssrc/document/doc/SSRC-HJ-202307.pdf

10

ディスクイメージを書き出し
実践編では、USB メモリなど外部メディアを保全対象 PC に接続し、その USB メモリなどに dd コマンド、
FTK Imager を使って、イメージファイルの取得、保管を行いました。しかし、保全対象がレンタルサーバーなど、USB メモリなどを接続できない場合があります。その場合には、ネットワーク越しにイメージファ
イルの取得をすることを検討します。
●ネットワーク越しのイメージファイル取得
本稿では、ネットワーク越しのイメージファイル取得の 1 つとして、nc(netcat) コマンドを活用します。今回は、コンピューターなどの性能を鑑みて、ローカル環境からローカル環境へ nc を使って試行します。
保全対象 CentOS に「Tsurugi Linux」、をセットして、DVD ブートを実施してください（準備編を参照）。
また、USB HDD を接続して起動してください。「Tsurugi Linux」が起動したら、USB HDD を Read
Write モードに変更し、/media/usbhdd/ にマウントしてください ( 準備編を参照 )。
①待ち受けポートと出力ファイルの指定
USB HDD のマウントが終わりましたら、nc でネットワーク越しに送信されるイメージファイルの待ち受けを行います。下記のコマンドを実行してください。
# nc -lv -p 12345 | dd of=/media/usbhdd/nc-victim-CentOS-root.dd②待ち受けポートの確認コマンドを実行しましたら、別のターミナルを起動して、下記のコマンドを実行、ポート 12345 で待ち受けしていることを確認してください。
# netstat -an
実行結果は、以下の通りです。

③入力ファイルとポートの指定
ポート 12345 で待ち受けしていることを確認したら、以下のコマンドを実行してください。
# dd if=/dev/mapper/cs-root bs=64k | nc 127.0.0.1 12345
今回はローカル (127.0.0.1) の 12345 ポートで待ち受けている nc へ、dd コマンドで取得したデータを同じく nc を使って送信しています。これと同様に、保全データ保管用 PC でコマンド①を実行、保全対象 PC でコマンド③を実行し、IP アドレスを保全データ保管用 PC に指定することで、リモー
ト越しに、イメージファイルの取得が可能となります。なお、リモート越しにイメージファイルの取得を行う際には、ファイアーウオールの設定などアクセス制御を見直すことになりますが、不用
意に不特定多数相手にポート開放を行うことがないように注意してください。

11ディスクイメージの確認●保全したイメージファイルのハッシュ値確認
本項では、同一性の検証を目的として、ハッシュ値を確認します。詳細については、デジタルフォ
レンジック研究会が公開している「証拠保全ガイドライン 第 9 版」6-2-3 同一性検証機能を参照してください※ 2。
ここでは、証拠保全ガイドラインに記載があるとおり、2 種類のハッシュアルゴリズムを用いて、ハッシュ値を確認していきます。
# sha224sum /media/usbhdd/*# sha256sum /media/usbhdd/*
sha224sum の確認結果を以下に示します。sha256sum についても同様にご確認ください。なお、ハッシュ値は、それぞれの環境（取得したデータ）により異なります。

●保全したイメージファイルのバックアップ
次に保全したイメージファイルのバックアップを作成します。このあと、保全したイメージファイ
ルの中身を確認しますが、誤って書き込み可能モードでマウントしてしまい、データに変更を加えてしまった際に、即座にバックアップから元に戻すことを目的としています。複数取得しておくことをお勧めします。バックアップが作成できたら、前項と同様にハッシュ値を確認します。
# mkdir /media/usbhdd/backup# cp -a /media/usbhdd/ftk-victim-CentOS-root.img.001 /media/usbhadd/
backup/●保全したイメージファイルの内容確認①イメージファイルをマウントする
まずは、保全したイメージファイルを確認します。以下のコマンドを実行して、ディスクイメージ
をマウントします。なお、mount に関する解説は「実践編」で行っていますので、必要に応じて参照してください。
# mount -o ro /media/usbhdd/victim-CentOS-root.dd /mnt/virtual2/②ファイルの確認
以下のコマンドを実行して、himitsu.txt の存在 (CentOS9 の HDD である事 ) を確認してください。
# ls - la /mnt/virtual2/root/himitsu/himitsu.txt※ 2 https://digitalforensic.jp/wp-content/uploads/2023/02/shokohoznGL9.pdf2

12

●保全したイメージファイルの確認失敗の事例
本項では、保全したイメージファイルの確認失敗を体験してみます。
以下のコマンドを実行して、ディスクイメージをマウントしてください。なお、ここではあえて、「-oro」オプションがないことに注目してください。
# mount /media/usbhdd/ftk-victim-CentOS-root.img.001 /mnt/virtual3/
マウントしましたら、rw モードでマウントできていることを確認してください。
# mount
今回の例では、Tsurugi Linux が、loopback device としてマウントするようですので、/dev/
loop1 の Unlock が必要となります。
デスクトップ上の「TSURUGI DEVICE UNLOCKER」を起動し、/dev/loop1 にチェックを入れ、
Unlock ボタンを押下します。

次に、以下のコマンドを実行してください。
# echo test > /mnt/virtual3/root/himitsu/test.txt# rm /mnt/virtual3/root/himitsu/test.txt
このコマンドは、誤ってファイルを作成してしまい、急いで削除したことを想定しています。この時のファイルの状況はどうなるのでしょうか？
以下のコマンドを実行してみてください。
# ls -la /media/usbhdd/ftk-victim-CentOS-root.img.001# sha224sum ftk-victim-CentOS-root.img.001

13

イメージファイルのタイムスタンプが変更され、ハッシュ値も変わっていることが分かります。そのため、当該イメージファイルは改ざんされているとみなされるなど、イメージファイルは、正し
く保全されたファイルと見なされなくなってしまう可能性があります。
実践編でイメージデータの中身を確認しなかった理由はこのためです。Tsurugi Linux には、誤った変更を防ぐ機能があり問題がないように見えますが、他の OS で作業する際には特に注意が必要です。保全したファイルを閲覧する際には、先にバックアップを取得し、加えて特段の理由がない限
りは、リードオンリーモードで閲覧するように心がけましょう ( 今回は、バックアップが複数ある
ため戻すことも可能です )。

おわりにこれまで 3 回にわたりお届けした「HDD 保全」はここで終了です。記事では、対象を HDD に限定するなど、保全に必要な作業の一部を紹介したにすぎません。詳細については、デジタルフォレンジック研究会が公開し、本稿 P12 でも参照している「証拠保全ガイドライン 第 9 版」をご覧ください。
次回からは、「Windows システム調査」と題して、Sysinternals Suite を用いた調査手法を解説します。
本稿が、みなさんがセキュリティツールに興味を持ち試してみるきっかけになれば幸いです。

14