不正の解明可否が分かれた
デジタル・フォレンジック基点での境界線
第14回デジタル・フォレンジック・コミュニティ2017 in TOKYO
大阪データ復旧（株） 下垣内 太（しもがいと だい）1破壊されたハードディスクのデータ復旧と解析

被疑者に破壊され、データ保全が不可能と判断されたパソコンを解析し、犯行時間帯の行動履歴を時系列で解明した際の技術的工程および捜査機関との連携の過程

2

証拠隠滅を狙って破壊されたHDD

注）この写真のハードディスクドライブは、実際の事件証拠品の破壊状況を下垣内太が再現したものです。いずれの写真も本物の証拠品ではございません。

3

１GBだけ読める状況で手作業を選ぶメリット
先頭から連続１GB

ピンポイントの合計１GB

迷宮入り

証拠確保

・ウェブ履歴・メッセージ・イベントログ
非手作業では確保困難
・イメージングソフト
・クローンツール

4

ＮＴＦＳのデータ配置＄MFT

ファイルレコード・ファイル名︓顧客名簿.xlsx
・タイムスタンプ︓ 2017年12月24日23時59分 作成
︓ 2016年19月17日15時30分 更新

２箇所に断片化5

最難関はプラッタ表層ダメージの克服
ファームウェアレベルでの調整と改造＆

磁気ディスク表層ダメージの低減化＆部品交換による一時修繕（通常のデータ復旧技術）

ヘッドアセンブリ交換

制御基板修復6収集したデータを時系列化し、対象者の行動経緯を把握
時刻

出来事

ソース

10時58分01秒

被疑者が１２３号室を訪問。玄関内に入り扉が閉まった。

防犯カメラ

11時07分16秒

パソコン起動イベントログ

12時05分47秒

ブラウザで”呼吸停止 頭部ケガ”と検索

Web
検索履歴

12時08分32秒

ブラウザで”応急処置”と検索

Web
検索履歴

12時09分23秒

Webページ「応急手当の仕方」を閲覧。

Web
閲覧履歴

12時11分55秒

被害者宛に被害者知人Aからメールが届く。
「今日一緒にランチする予定はキャンセル︖１時までは店で待つわ」

メッセージ

12時15分03秒

ブラウザで”指紋の消し方”と検索

Web
検索履歴

12時25分41秒

パソコンシャットダウン

イベントログ

13時18分10秒

被疑者が１２３号室を出た。

防犯カメラ

20時48分

被害者知人A、１１９番救急車要請

捜査情報20時56分

救急車到着

捜査情報

日時情報と人の行為がペアになるデータをピンポイントで収集

7

解析対象を特化しすぎると重要証拠を見落とす

内部不正（詐欺）調査にて、経営者が指定した項目以外のデータについても調査したところ、関連する詐欺事件全体の主犯格が判明した実例

8解析対象を特化しすぎると重要証拠を見落とす
依頼人のリクエスト削除されたワード文書を探してくれないか︖（１） 社長が知らない契約書を元従業員が作成し、売買成立していたことが発覚（２） 社内の契約書は全てMS-Word文書であった（３） まだ発覚していない不正契約が他にもあったのではないか︖
解析後、MS-Wordデータは検出されず。だが、真犯人と未発覚の不正契約が判明。
解析対象ファイル選択リスト

解析対象ファイル選択リスト

□ ワード

□ ＪＰＧ

□ ワード

□ ＪＰＧ

□ エクセル□ ＴＩＦＦ□ エクセル□ ＴＩＦＦ□ パワーポイント□ ＰＳＴ□ パワーポイント

□ ＰＳＴ

□ ＰＤＦ

□ ＥＭＬ

□ ＰＤＦ

□ ＥＭＬ□ ＢＭＰ

□ ＺＩＰ

□ ＢＭＰ

□ ＺＩＰ

9

不正の解明可否が分かれたボーダーライン

退職者による機密情報持ち出しの調査において、証拠データの収集と解析が充分にできた事例と、不充分だったときの具体的な違い

10

不正の解明可否が分かれたボーダーライン（環境）
依頼人のリクエスト

退職者が機密情報を持ち出した証拠がほしい。

（１） 退職後、ＰＣは使用されずに保管されていた（２） 社内のデータコピー監視ログと個人ＰＣの痕跡を照合できた（３） 予め監視チームと、事案発生時の調査手順を想定していたまずはＰＣデータの保全をしよう︕

早期ほど有用

※デジタル・フォレンジック研究会「証拠保全ガイドライン第６版」 https://digitalforensic.jp/wp-content/uploads/2017/05/idf-guideline-6-20170509.pdf（１） ファイル削除から時間が経ち、ＰＣ使用が継続されていた（２） ＨＤＤでなくＳＳＤだった ※設定による（３） 機密情報の持ち出しにパソコンが使用されていなかった
とりあえずＰＣ起動して調べてみよう︕

証拠が減る

やってしまった、、、

11

不正の解明可否が分かれたボーダーライン（解析）依頼人のリクエスト

退職者が機密情報を持ち出した証拠がほしい。

（１） ファイル削除日時が、ＵＳＮジャーナルに残されていた（２） 社内はWindowsだけなのに、Mac使用の痕跡が見つかった
Mac特有のリソースフォーク（３） 社内はMacだけなのに、Windows使用の痕跡が見つかった
圧縮した際のOSの種類が、ZIPファイル内
セントラルディレクトリに記録されている
セントラルディレクトリヘッダ

セントラルディレクトリ
ヘッダから２バイト目

12

ＨＤＤデータの保全と消去の対象範囲”HDD や SSD に対する一定以上のレベルでのデータ抹消は現時点では不可能に近い”
特定非営利活動法人デジタル・フォレンジック研究会 「データ消去」分科会
証拠保全先媒体のデータ抹消に関する報告書（2016年4月11日）より

13

HDD-C

HDD-B

製造初期

HDD-C

HDD-B

出荷前検査

HDD-C

HDD-B

新品

HDD-C

HDD-B

HDD-A

PHASE-06

HDD-A

PHASE-03

HDD-A

PHASE-02

HDD-A

PHASE-01

物理セクタと論理セクタの構造

LBAが割り当てられていないセクタ

製造段階でLBAの割り当てが除外されたセクタ

LBAが割り当てられているセクタ

代替処理後の不良セクタ

証拠品
14

HDD-B

PHASE-06

保全解析の対象と非対象領域

LBAが割り当てられていないセクタ

製造段階でLBAの割り当てが除外されたセクタ

LBAが割り当てられているセクタ

代替処理後の不良セクタ

15

HDD-B

PHASE-06

データ消去の対象と非対象領域

LBAが割り当てられていないセクタ

製造段階でLBAの割り当てが除外されたセクタ

LBAが割り当てられているセクタ

代替処理後の不良セクタ

16

データ消去の対象と非対象領域
消去可

消去不可

データ消去ソフト・ツール
Secure Erase
DoD方式（米国国防総省）
グートマン方式（35回）※物理破壊は除く

Enhanced
Secure Erase（NIST）

参考文献
特定非営利活動法人デジタル・フォレンジック研究会「データ消去」分科会、証拠保全先媒体のデータ抹消に関する報告書(2016)
https://digitalforensic.jp/wp-content/uploads/2016/02/report.pdf

LBAが割り当てられていないセクタ

製造段階でLBAの割り当てが除外されたセクタ

LBAが割り当てられているセクタ

代替処理後の不良セクタ

17

ワイプ済みＨＤＤでも調査の余地はある（１） 全セクタを完全消去するツールは無い※物理破壊は別（２） 不良セクタにはデータが残存（３） テロ対策レベルの解析余地はある

DoD（米国国防総省）準拠方式
DoD5220.22-M

2006年に破棄済み

18

悩ましい問題

データ消去

完全消去できるソフトウェアは無い

全セクタを

19

見えないセクタ、見えないデータとの闘い

サイバーテロ20

検討すべき課題
デジタル・フォレンジック

我々はHDDの全てのデータ領域を調べつくしました。

そうなんですね ?

物理イメージはHDDの完全なる複製物です。

捜査機関

裁判所
21

検討すべき課題
デジタル・フォレンジック

解決策（案）
全論理セクタの情報を調べました。

捜査機関

そうなんですね ?

裁判所
22悩ましい問題

製造物責任

こんなアクシデントが起こる
なんて、きいてないよ。

責任とって下さい︕

訴えてやる︕

こんなことが起こるなんて想定外だ (T^T)
消費者 ＆ ユーザ（顧客）ベンダ & メーカ
2324