コンピュータ・フォレンジック

コンピュータ・フォレンジック（、コンピュータ・フォレンジック・サイエンス）は、コンピュータやデジタル記録媒体の中に残された法的証拠に関わるデジタル的な法科学（フォレンジック・サイエンス）の一分野である。現在は、デジタル・フォレンジック ()の中の小分野として分類されている。

コンピュータ・フォレンジックの目的は、コンピュータ・システム自身やハードディスクドライブまたはCD-ROMのような記録媒体、電子文書中のメッセージやJPEG画像のような、デジタル製品の最新の状態を明らかにすることである。法科学的な分析の範囲は単純な情報の修復から一連の事象の再構成までが含まれる。

 証拠としての使用 
デジタルな証拠に通常求められる要求に加えて、コンピュータ・フォレンジックにはとりわけ多くの指針と法的手続きが存在している。

 イギリスの法的指針 
デジタル証拠の完全性を維持するという要求に応じるために、イギリスの調査官はAssociation of Chief Police Officers（ACPO）の指針に従う。その指針は以下の4つの原則からなる。

法執行機関またはそれらの代理人は、後に法廷で要求され得るコンピュータまたは記録媒体に保持されているデータに対して、いかなる変更も施すべきでない。
コンピュータまたはストレージ・メディアに保持されている原データにアクセスする必要があると判断する例外的事情のある場合、アクセスする者はその資格がなければならず、それらの行為の妥当性と意味合いを説明し、証拠を示すことができなければならない。
電子的証拠に基づいてコンピュータに適用される全ての過程の監査記録または他の記録は、作成され保存されるべきである。独立した第三者がそれらの過程を調査し、同様の結果を得ることができるべきである。
捜査の担当者（the case officer）は法とこれらの原則が遵守されることを確実にする全ての責務がある。

 実例 
コンピュータ・フォレンジックは多くの事例で重要な役割を果たしている。

BTKキラー
デニス・レイダーは16年間にわたる一連の連続殺人で有罪判決を受けた。逮捕される前に、レイダーは何通かの手紙をフロッピーディスクに入れて警察に送っていた。その文書中のメタデータから、"Dennis"という名の筆者と"Christ Lutheran Church"の関連が浮かび上がった。この証拠はレイダーの逮捕につながった。

ジョセフ・ E・ダンカン3世
ダンカン（Joseph E. Duncan III）のコンピュータから、彼が犯罪を計画したことを示す証拠を含んだ表計算ソフトの表が復元された。検察はこれを証拠として予謀を証明し、死刑判決を確定させた。

シャロン・ロパートカ
捜査員は、シャロン・ロパートカ（Sharon Lopatka）のコンピュータに残されていた数百通ものEメールから、彼女を殺害したロバート・グラスを割り出した。

 日本での導入・利用 
日本では大阪地検特捜部主任検事証拠改ざん事件を機に、2010年に東京・大阪・名古屋各地検の特捜部に導入された。オリンパス事件、徳洲会事件、小渕優子関連団体の政治資金規正法違反事件などで応用された。2017年4月には東京地検内に全国の検察事務官などを集めて、人材育成や解析支援を担当する「DFセンター」が開設された「森友」交渉記録、電子鑑識へPCデータ復元、国有地売却交渉を究明 大阪地検『産経新聞』朝刊2017年8月23日。

検察や警察などの政府機関だけでなく、依頼を受けた民間企業が手掛ける場合もある。2011年に発覚した大相撲八百長問題では、AOSテクノロジーのリーガルテック部門（現・AOSリーガルテック）が、破壊された携帯電話から電子メールの内容を復元した壊したスマホ 証拠逃さぬ『日経産業新聞』2017年11月9日（16面）。

フォレンジックの過程

コンピュータ・フォレンジック捜査の標準的な手順は、データ取得、調査、解析、そして報告から成る。黎明期には専門ツールが不足していたため、稼動中のコンピュータを捜査せざるを得ない場合が一般的であったが、現代では稼動中のシステムではなく静的データ、つまりイメージファイルに対して捜査を行うのが一般的である。

揮発性データ
証拠物を押収するとき、もし機器がまだ稼働中ならば、RAM上のデータは電源を切ると失われる可能性が高い。

メモリセルに蓄積された電荷の放散に時間がかかるので、電力停止後にもRAMにある重要な内容が解析されうる。データ回復が可能な時間は、低温であって高いセル電圧であるほど長くなる。RAMを−60℃ 下で電源が入っていない状態に保持できれば、電荷の放散が抑えられてデータ回復が成功する見込みは高くなる。しかし、現場調査でそういった対応は非現実的である。

技法
Cross-drive analysis
 複数のハードディスクドライブから発見された情報を関連づける技法。この技法は、まだ研究段階であるが、人間関係の解明や異常検知への活用が提案されている。

Live analysis
 対象物のOSが稼動している状態で、独自のフォレンジック・ツールや既存の管理ツールを使用して証拠データを取得し、コンピュータを調査する技法。この技法は、暗号化ファイルシステム（Encrypting File System）を扱う場合に有用であり、例えばデータが復号されている内に暗号化キーを収集できる可能性がある。また、コンピュータがシャットダウンして論理ハードドライブ・ボリュームが暗号化される前にそのイメージを取得できる可能性がある。

削除ファイルの復旧
 コンピュータ・フォレンジックで使用される一般的な技法の1つが、削除されたファイルの復旧（Recovery of deleted files）である。現代のフォレンジック・ツールは、削除されたファイルをファイルシステムに基づいて復旧する機能、もしくはファイル内容の特徴（ヘッダ等）に基づいて復旧する機能を有する。多くのOS及びファイルシステムでは、ファイルを論理的に削除しても物理的にはデータが残存するため、未使用セクタに物理アクセスを行ってデータ復旧を試みることが可能である。

ステガノグラフィ (Steganography)
 データを隠蔽する手法として、ステガノグラフィがある。これは、画像などのバイナリファイルの中にデータを埋め込んで隠す手法である。使用例としては、児童ポルノなどの違法なデータの隠蔽が挙げられる。この手法への対策としては、ハッシュ値の比較がある。証拠物の中の一見無害なファイルのハッシュ値と、そのオリジナルのファイル（入手できれば）のハッシュ値を比較し、相違があればファイル内容にも相違があり、違法データが埋め込まれている可能性があると看破できる。

解析ツール
多くのオープンソースツール及び商用ツールがコンピュータ・フォレンジック捜査のために存在する。

 EnCase
 FTK
 PTK Forensics
 The Sleuth Kit
 The Coroner's Toolkit
 COFEE
 Selective file dumper

フォレンジック解析の典型例としては、メディア上の資料の手動調査、Windowsレジストリ上の疑わしい情報に関する調査、パスワードの発見とクラッキング、犯罪に関連した主題のキーワード検索、Eメールや画像の抽出及び調査が挙げられる。

認証
コンピュータ・フォレンジックについて、さまざまな認証がある。アメリカ合衆国の多くの州法はコンピュータ・フォレンジック鑑定人に専門的認証または私的捜査員のライセンスを取得することを求めている。 

一般的認証
 GIAC Certified Forensic Analyst（GCFA）認証はGlobal Information Assurance Certificationが実施している。GCFA認証取得者は2010年の時点で2100人以上に上る。
 Certified Computer Examiner（CCE）認証はInternational Society of Forensic Computer Examinersが運営している。2010年時点で28カ国・1000人以上のCCE取得者か代理人として活動している。
 Certified Computer Forensics Examiner（CCFE）認証はIACRBが実施しているInformation Assurance Certification Review Board。CCFE取得者は2009年7月時点で1000人以上いる。
 Certified Forensic Computer Examiner（CFCE）はIACISが実施しているInternational Association of Computer Investigative Specialists, 。
 IFS Cyber Forensic, Cyber Law, Cyber Crime and Cyber Security Certifications - IFS INDIが実施しているIFS Education Department, 。
 Certified Ethical Hacker - EC-Councilが実施しているEC-Council, 。

他にも、EnCase Certified Examiner（EnCE）認証やAccessData ACE認証のように製品固有の認証を提供するコンピュータ・フォレンジック・ソフトウェア企業がある。

関連項目

Counter forensics
デジタル・フォレンジック
暗号解読
Data remanence
Disk encryption
電子情報開示
暗号
Hidden file and hidden directory
Information technology audit
MAC times
Steganalysis
United States v. Arnold

脚注

 読書案内 

 A Practice Guide to Computer Forensics, First Edition (Paperback) by David Benton (Author), Frank Grindstaff (Author)





Incident Response and Computer Forensics, Second Edition (Paperback) by Chris Prosise (Author), Kevin Mandia (Author), Matt Pepe (Author) "Truth is stranger than fiction..." (more)





 関連記事 
フォレンジックとは - Network キーワード : ITpro
デジタル・フォレンジックとは - Network キーワード : ITpro
（前編） デジタル・フォレンジックの手順を理解する - 不正抑止の最終手段 : ITpro
（後編） “虫食い状態”でも復元 - 不正抑止の最終手段 : ITpro
英文記事
Journal of Digital Forensics, Security and Law
International Journal of Digital Crime and Forensics
Journal of Digital Investigation
International Journal of Digital Evidence
International Journal of Forensic Computer Science
Journal of Digital Forensic Practice
Cryptologia
Small Scale Digital Device Forensic Journal

外部リンク
 デジタル・フォレンジックとは - デジタル・フォレンジック研究会 　
 基本的なコンピュータ フォレンジック ガイド - Microsoft TechNet Magazine
 コンピュータフォレンジックってなんだ?! - 中小企業基盤整備機構 J-Net21
 「コンピュータ・フォレンジック」とは - 日経BP ITpro
英文リンク
 US NIST Digital Data Acquisition Tool Specification (PDF)
 Forensics Wiki - コンピュータ・フォレンジック情報のクリエイティブ・コモンズ・ウィキ。
 Computer Forensics World Forum
 IT Crime Investigation: An overview of techniques
 Original Computer Forensics Wiki
 Electronic Evidence Information Center
 Forensic Focus
 Digital Forensic Research Workshop (DFRWS)
 Computer Forensic Whitepapers (SANS)


Category:デジタル・フォレンジック
Category:コンピュータセキュリティ手続
Category:暗号解読攻撃
Category:情報技術監査
Category:法科学