Fast Forensics
インシデント発生時の初動対応
EY新日本有限責任監査法人
Forensics事業部 プリンシパル
杉山 一郎

Today’s Agenda• 自己紹介、法人紹介• Fast Forensics（ファストフォレンジック）の定義、現状• 次のステップに向けて
• まとめ

2

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

About EY

Corporate Profile
Corporate name: Ernst & Young
Established year: 1989
Headquarters: London
Global Chairman / CEO: Mark A. Weinberger
Service Line: Assurance | Tax | Transactions | AdvisoryScenarios where
FIS are engaged

SkillsServices

EY Cyber Forensics

5Cyber BreachResponse
Management

Cybercrime andFraud
Investigations

CybercrimeIntelligence andThreat
Assessment

Training andCyber exercise

Log Identification &Analysis

Network attack
forensics

Digital ForensicAnalysis

Intelligenceassessment andanalysis

Law enforcement,
security andregulatory liaison

Host based
malware and attack
analysis

Cyber Crime andFraud Investigation

Cyber breachlitigation anddisputes support

Breach impact
assessment

Board-level cyberbreach response

Conducting forensically soundtechnical investigations into adamaging cyber-attack –including collection and analysis
of evidence

Providing digital and cyberforensic expert witness services

Supporting commercial disputes
with customers and supply chain
relating to losses or damages
from cyber-breaches

Supporting civil and criminal
litigation relating to cyberbreaches

Collecting digital forensic
evidence to criminal litigation
standards

Preservation, collection,transformation and integrated
analysis of multiple forms ofdata （e.g. financial, email, audio,chat）.

Collecting and analysing using
eDiscovery and analytics theinformation / intellectual property
compromised by cyber-attackers –in order to assess losses

Assisting CEO, CFO, Chief GeneralCounsel, CSO, CIO and CISO withbusiness consequence
management and business levelinvestigations

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

EY Infrastructure for Cyber
Country with EY location
Forensic evidence labs
Advanced security centers
Forensic data centers
Cyber Defense Operation Center

Amsterdam
Brussels
Paris
LondonManchester
DublinMadridSaarbrücken
Düsseldorf

Vilnius
Moscow

OsloFrankfurt

PragueWarsaw
ViennaStuttgart
Zürich

Budapest
Istanbul

ChicagoSan Jose
Los Angeles

Beijing
Seoul
Tokyo
Shanghai

New Mexico
DallasSan Antonio
HoustonHong Kong
TorontoHanoi

BostonSecaucus

Kuala Lumpur

New York
Washington, DC
Ashburn

ManilaJakarta

Singapore

Mexico City

Chennai

BogotaNew Delhi

PerthDubai

Auckland

HyderabadLimaSão PauloSantiago

6

Buenos Aires

Tel Aviv
Johannesburg
DurbanCape Town

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

Adelaide
Melbourne
BrisbaneSydneyDefinition of
Fast Forensics

証拠保全ガイドライン第7版• 7-7. ファスト・フォレンジックによる証拠データ抽出• 対象機器が多岐に渡り揮発性データに残る証拠データが多いと見込まれ、かつ速やかな実態解明や原因究明に偏ったフォレンジック調査が求められる場合、ファスト・フォレンジック（Fast Forensics）を実施することがある。

• 7-7-1. ファスト・フォレンジックとは• 早急な原因究明、侵入経路や不正な挙動を把握するため、必要最低限のデータを抽出及びコピーし、 解析することである。
• このニーズの背景には、業務利用されるシステムやサイバー攻撃に利用されるマルウェアのネットワーク化（相互接続）、急増するファイルレス攻撃のメカニズム解明にあたりメモリ上の揮発性情報の取得及び 保全の高まり、SSD 搭載デバイスとディスクの大容量化等がある。
• インシデント発生の現場におけるファースト・レスポンダは、一つのデバイスを深く調査する暇がなくなってきており、迅速な原因究明や侵入経路の特定をするために最低限のデータ抽出・解析をすることが求められてきている。

• 7-7-2. ファスト・フォレンジックの実施• ファスト・フォレンジックにおいて抽出すべき主な証拠データについて、Windows OSの場合は、イベントログ、プリフェッチ、レジストリ、ジャーナル、メタデータ、インターネット（ブラウザによる閲覧履歴、メーラ等の設定及び送受データ）、メモリなどである。
• これらの証拠データが消失する前に、発生現場におけるファースト・レスポンダが手作業のみで迅速かつ最大限に取得することは困難であるため、専門ツールを利用して実施する。

8

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

＠IDF Community 2013
• 標的型攻撃をベースに記載•

想定しているTTPsも当時の流行を記載している

出典：
https://digitalforensic.jp/archives/2013/1308.pdf （2018/10/31アクセス）

9

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

当時のお話• APT攻撃のベースとなる攻撃への対応が多数で、そうせざるを得ない状況だった••••

1台1台をゆっくり見る余裕無し（寝れない）
現場に行けば、めっちゃ感染しているし、Root of Causeを見つけた
り、漏洩データを評価・見積りするために必要なデータを探すことに必
死
殆どの端末でLateral Movementのエビデンスを見る機会が増加
メモリフォレンジックがマルウェア解析（静的、動的解析）を支援するよ
うに、Fast Forensicsもインシデント対応を支援する機会が増加•パネル後も、色んな方から指摘や非難を頂くこともあり•Fastって何？Quickでいいんではとか？
•そもそもフォレンジックじゃないよね？とか（イメージング≒証拠保全的な前提）

10

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

さておき、Fast Forensicsとは• 当初の想定環境例（標的型攻撃）
標的組織
アクセスして感染
標的がアクセスしそうなWebサイトを改ざん

標的型
メール

開封して感染

目的実行

遠隔操作

命令

攻撃者

11

C2サーバ

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

従来型フォレンジックとの違い
Fast Forensics

Deep Forensics►数時間で実行►数日～数週間►メモリダンプ、レジストリなど
対象範囲は限定的（要事前定義）►従来型のフォレンジック
調査►ネットワーク上の複数デバイスに対して同時に実行►未使用領域に残存する情報の復元（削除されたマルウェア本体や関連ファイルなど）►攻撃等の痕跡が残る傾向にある
データの収集と解析に集中►次の対応を決めるために行う（発生事象の早期評価）►IOCスキャンと同時に実行する場合もある

12►暗号化や難読化の解除►Fast Forensicsの結果を踏まえて必要に応じ実行►係争や不正調査での活用

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

Fast Forensicsの位置付け•

13

サイバーインシデント対応のライフサイクルにおけるFast Forensics

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

Fast Forensicsの位置付け• 日常的なモニタリングやスレットハンティングへの適用例

14

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

一般的に実施される解析内容• Fast Forensicsでは、物理デバイスの複製を伴う分析や一部のファイルシステム分析は実施しない
Webmail artefacts► Internet browsing history► Internet chat
► Internet search history► Cloud Storage Analysis►

Apps

Remote Desktop access► Mailbox access► Microsoft Office metadata► Database forensics► Virtual machine analysis►

Windows, Mac and Linux► Installation log analysis
主な解析領域
Event log parsing► File access through Shellbags► Recycle bin analysis► Swap file analysis► Registry analysis► Malware analysis► MRU lists► IDS, IPS, System and Network Logs►►

OperatingSystems

File access through LNK Files► File wiping analysis► Encryption analysis► MAC Times► Alternate Data Streams►

File Systems

File carving► Volume recovery► RAID recovery► Media wiping analysis► Encryption analysis► Disk Config Overlay (DCO) analysis►Physical Media15

MFT analysis► User activity timelines► User permissions analysis► Shadow Copies► Deleted file recovery►

Access Control System log data
► MBR/GPT►Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

収集するデータ例• 標的型攻撃等のサイバー攻撃を想定して収集するデータは、一般的に次のようなデータが専用ツールで収集されるデバイス

収集データの例

Windows▶

macOS▶

メモリダンプ▶ ファイルシステムデータ（$MFT、$J、$Logfile）▶ レジストリファイル▶ イベントログ▶ ブラウザ関連のデータ▶ SRUM▶ Prefetch
メモリダンプ▶ timeline bodyファイル▶ システムログ、監査ログ、Unified Logging、メンテナンスログ▶ ユーザ特有およびシステム特有のplist▶ Launch AgentおよびLaunch Daemon▶ .bash_sessions等のbash関連ファイル▶ Spotlightデータベース▶ .FSEvents

iOS/Android/Linux...

16

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

収集するデータの活用例▶疑わしいプロセスおよび実行開始時期の特定

メモリダンプ▶マルウェア等不正コードのダンプと解析▶横展開の情報

ファイルシステム（$MFT, Usrjrnl等）▶ファイルの一覧（時間情報、各種メタ情報などを含む）▶直近のファイルのアクティビティ（作成、更新、削除、データ追加など）▶MFTレコードの直近の変更ログ（フォルダのインデックス変更など）▶ファイルの閲覧、実行履歴

レジストリ▶サービスの登録状況▶マルウェアにより悪用されたキー（難読化されたコード、常駐方法など）

SRUM

17

▶各アプリケーションの通信容量▶各NICのネットワーク使用量

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

データ収集時の課題• トリアージ時のAdmin権限利用•

組織を超えた交渉•

NW型フォレンジック、資産管理ツールやEDR等でのデータ代用検討• 取得範囲の検討•

使用OSの種類やバージョン、想定する脅威により範囲は変わる•

既に配備済みのセキュリティ製品でトリアージに必要な情報の取得は？

•デバイス以外の情報（クラウド、ビジネスチャットなど）• セキュリティ機能による妨害•

メモリ取得等に制限が発生するケース• ログ•

必要なログが取れていない、残っていない•

クラウドサービスなどの規定保管期間• 証拠としての保全•
18

L01等のコンテナやスナップショット機能などを活用？

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

Fast Forensicsのイメージ

攻撃全体の俯瞰
▶ 次の対応立案▶ 影響範囲▶ 除染▶ 復旧▶

3. トリアージ

19

2. 分析（メモリ・ログ・アーティファクトなど）

1. データ収集（ホスト、SIEMなど）Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

Next Steps

2013年以降の環境変化•

ファイルレス攻撃の増加••

Lateral movementの利用範囲、手法が拡大•••

従来型の保全は更に難しくなる傾向

非サイバー領域（不正調査等）にも変化•

21

サイバースレットインテリジェンスを活用した能動的なインシデント予兆の検出

APFS等のコンテナ型ファイルシステムやT2など••

脆弱性、保有データ、ソフトウェアなどが多岐に渡る
クラウド同様に表面レベルしかアクセスできないデバイスがフォレンジック等の対象にインテリジェンスを活用したインシデント対応••

個人情報、クレジットカード情報の窃取だけでなく、ビジネスメール詐欺に使う請求書フォーマットから業務可用性（ランサム）までネットワークに接続するデバイスが多様化•••

C2サーバー等が一定時間後にダウン
GDPR等の規制への対応（迅速な事実確認と報告）

攻撃者のモチベーション変化••

利用範囲：標的型攻撃以外のランサムや諜報活動まで
攻撃手法：多くの戦術や技術が使われる

短い時間でのレスポンスが必要なケース増加•••

レジストリキーやメモリへのスクリプト保管など

ワードクラウド、クラスタリング、機械学習により効率的な調査が普及

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

ファイルレスの例• LNKやマクロ経由で実行されたPowerShellスクリプトによる攻撃•

マルウェアそのものはメモリのみに存在•

別のPowerShellのコードがレジストリ等に難読化されて保存 などもPowerShellスクリプト
メール、USB等

マルウェアダウンロード

メモリのみで活動

C2サーバと通信

どの様に検知し、どの様に分析するかダミーファイルの表示

22

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

Lateral Movement（最初の攻撃以降）• 検知、インシデントレスポンスは攻撃者が利用するTTPs（戦術・技術・戦略）を定期的にキャッチアップし、Fast Forensics（迅速かつ効率的な対応）や侵害の極小化を図る。
•TTPsは攻撃者にとって柔軟に変更できない領域であり、TTPsの理解がFast Forensicsや日常監視を高度化する。

•TTPsを理解したら、攻撃者の動きを捕捉するためにFast Forensicsで必要な情報収集について整理をする。
•

データコレクションツール、SIEMの設定の見直し•

解析用のプログラムやプロシージャの見直し•

EDR運用チーム、SOC等との連携

出典：ATT&CK Matrix for Enterprise“https://attack.mitre.org”

23

出典：SANS Institute “https://www.sans.org/security-resources/posters/dfir”

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

短時間での対応、規制等への対応•

Fast Forensicsを構成する要素は技術的な要素が多い一方で、実行に際しては組織の危機管理対応、インシデント対応などのプロシージャに組み込む必要があるため、関連部署との連携等が必要になる•►

攻撃者のモチベーション変化、業界におけるサイバーリスク動向や規制状況、自社が対峙するサイバー犯罪、開発や営業などのビジネス部門のインフラ活用状況、自社のインフラ変化への理解等を共有し、Fast Forensics含むインシデント対応のプロシージャを定期的に見直す

インシデントレスポンスにおける役割・責任の明確化►24

インシデント対応のコンテクストの整理

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

環境変化等を踏まえて再考
これからのFast Forensicsを考えるうえでのキーワード• 日々のモニタリング・検知・対応への活用•

能動型（ハンティング）と受動型の両方で利用することを想定•

データコレクション、IOCスキャン等• 対峙するサイバー犯罪全体を俯瞰的に捉える•プロセス全体やコンテキスト（サイバー犯罪の性質）への理解が必要•狙われるリスクと保有する情報のマッピング•

どこから情報をすばやく収集するのか•集めたインテリジェンスをどの様に活用するのか• Fast Forensicsを適切に行うための準備

25•

どの様に判断し、保全し対応するのか（プロシージャの整備）•増加するデータソースへの対応（新しいOS、IOT、クラウドなど）•収集するべきデータの特定と方法を検討

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

日々の活動計画の再考重要となる要素

犯理

サイバー罪に対する情報の受信と解モニタリング

検知対応

監視による可視性向上

調査と評価

企業ポリシーに従う

サイバー脅威の検出試行
SOC

ログの集約

セキュリティ
製品

クラウドシステムの融合• フォレンジック視点で診断• IOCスキャンなど• メモリ/ ログ/ アーティファ
クト分析

インシデントへの対応• ステークホルダー、規制当局などへ報告• 開示義務への対応• 振る舞いベース• マルウェア解析• 捜査当局への相談• インテリジェンス• フォレンジック• システム復旧• 調査で得た情報のインプット• 再発防止フォレンジック調査、規制対応

用

スレットハンティング

発見した脅威情報を受動的なハンティング、検知、調査

インシデント対応後の復旧

26

いた回帰的分析

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

対峙するサイバー犯罪の特性• 「どの様な性質を持つ犯罪か」俯瞰的に捉え、トリアージ計画に活用•狙われるリスクは何か、情報のマッピングに加えて多面的な視点で捉える•

スコープの策定から保有インフラにおけるトリアージプランを策定する• 集めたデータのマイニング（情報・知識等の取り出し）と活用

出典：Cybercrime Investigation Body of Knowledge 第1版

27

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

狙われるリスク（産業毎）• 一般的な産業毎のリスク•モニタリング>検知>インシデント対応のプロセスに大きな影響を与える

産業

マルウェア感染等による設計情報や研究中の技術情報の漏洩► パートナシップのジョイントベンチャー等からの情報漏えい
►

自動車

防衛産業

公的機関

►
►

機密情報の窃取
重要な防衛資産に対するサイバー攻撃

重要な国家インフラへの攻撃や破壊► 機密文書やデータ等の漏洩►

国内の石油やガスの埋蔵量等を含んだ契約や研究情報の漏洩► ハクティビストによる業務妨害►

鉱業

石油・ガス産業

サイバー犯罪の例►►

業務中断や試掘に関する情報の漏洩
規制基準の未達成（失敗）

銀行
保険

サイバー犯罪の例►►►►►

ライフサイエンス

ヘルスケア
メディア

►►
►
►
►

オンラインバンキング詐欺（不正送金）
DDoSや銀行内部を狙った攻撃
偽りの保険請求やインシデントの報告「リスクモデリング」データを含む内部情報流出
研究と臨床試験データの漏洩
学術パートナーおよび/または下流のジョイントベンチャーを介した不注意による漏洩
患者データとメディカルID番号の盗難
不正請求
著作権侵害とIPの盗難
放送の妨害

元従業員による研究開発の盗難（ソースコードの窃取など）► 第三者へのデータ漏洩►

テクノロジー

モバイルネットワークと放送時間の詐欺活動による妨害► 規制基準の違反につながる個人顧客データの漏洩►

電力コンシューマー
製品販売

28

SCADA制御システムへの攻撃による業務妨
害行為► スマートメーターの改ざん►

テレコム

研究やマーケティングに関する情報の窃取► 情報流出等に起因した模倣品や海賊版小売り►顧客のPIIの盗難► 顧客のクレジットカードデータの盗難►

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

Deep Forensicsは困難に•

対象の根幹へのアクセスが困難になり、表層レベルでの解析が中心になる•デバイスの全領域複製は不可••

アクセス手段の欠落、T2チップ（Apple）などのセキュリティ機能

アプリ、ユーザーレベルでのアクセスが前提•

システム導入時のフォレンジック設計（ログ取得等）が重要に•

Fast Forensicsに類似するアプローチが必要に

クラウド

TV

○○Tech
制御
システム

モバイル

29

Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

IoT

まとめ

まとめ
• Fast Forensicsとは、早急な原因究明、侵入経路や不正な挙動を把握するため、必要最低限のデータを抽出し、 解析すること• Fast Forensicsは、これからの組織におけるサイバーセキュリティ活動で有用な手法の一つになりえる•

早急な事実確認、次の行動計画の策定、既知脅威の検出など•実行に際しては組織連携、リスクの識別、サイバー犯罪全体への俯瞰などが必要になる• 活用には事前の準備が不可欠

31•

新しいデバイス、サービス利用時にはセキュリティアセスメントの中でFastForensicsについて考慮する（当然、フォレンジックも）•エンドポイント、ネットワーク、クラウド等からのデータ取得計画•

想定されるサイバー犯罪リスクは産業により異なり、インシデントの検知等の日々の活動やトリアージプランも変化する•

環境変化を吸収するためのアセスメント、インシデント対応計画の継続的な見直し等が必要
Fast Forensics- All Rights Reserved - Ernst & Young ShinNihon LLC 2019

ご清聴ありがとうございました

EY | Assurance | Tax | Transactions | Advisory
EYについてEYは、アシュアランス、税務、トランザクションおよびアドバイザリーなどの分野における世界的なリーダーです。私たちの深い洞察と高品質なサービスは、世界中の資本市場や経済活動に信頼をもたらします。私たちはさま
ざまなステークホルダーの期待に応えるチームを率いるリーダーを生み出していきます。そうすることで、構成員、クライアント、そして地域社会のために、より良い社会の構築に貢献します。
EYとは、アーンスト・アンド・ヤング・グローバル・リミテッドのグローバルネットワークであり、単体、もしくは複数のメンバーファームを指し、各メンバーファームは法的に独立した組織です。アーンスト・アンド・ヤング・グローバル・リミテッドは、英国の保証有限責任会社であ り、顧客サービスは提供 してい ません。詳しくは、ey.comをご覧ください。

EY新日本有限責任監査法人について
EY新日本有限責任監査法人は、EYの日本におけるメンバーファームであり、監査および保証業務を中心に、アドバイザリーサービスなどを提供しています。詳しくは、www.shinnihon.or.jp をご覧ください。
© 2019 Ernst & Young ShinNihon LLC.
All Rights Reserved.
ED None
本書は一般的な参考情報の提供のみを目的に作成されており、会計、税務およびその他の専門的なアドバイスを行うものではありません。EY新日本有限責任監査法人および他のEYメンバーファームは、皆様が本書を利用したことにより被ったいかなる損害についても、一切の責任を負いません。具体的なアドバイスが必要な場合は、個別に専門家にご相談ください。