デジタルフォレンジックとは
デジタルフォレンジックとは、パソコンやサーバーに残る記録から、何が起きたかを調べる仕事です。調べた結果は、あとで他の人が確かめられなければなりません。
そのため、証拠は集め方で価値が決まります。電源を切っただけで消える証拠も、うっかり開いただけで変わる証拠もあります。
このレッスンのゴール
メモ
デジタル証拠を壊さずに集めることができる。
キーワード
| ことば | いみ | れい |
|---|---|---|
| デジタル証拠 | コンピュータに残った、何が起きたかを示す記録やファイル | ログ、メモリの内容 |
| 揮発性 | 電源を切ったり時間がたったりすると、消えやすい性質 | |
| 揮発性の順序 | 消えやすい証拠から先に集める、という集める順番の決まり | |
| 複製 | 原本と同じ内容に作ったコピー。調べるのは複製のほう | |
| 証拠保全 | 証拠を変えないまま、集めて守ること | |
| 保管の連鎖 | 証拠を誰が、いつ、どう扱ったかを途切れなく残した記録 |
学生が入力するセルは、このプレビューでは空白です。
消えやすい証拠から先に集める
証拠には、すぐ消えるものと、長く残るものがあります。メモリの中身は、電源を切ると消えます。ディスクのファイルは、切っても残ります。
そこで、消えやすいものから順に集めます。これを揮発性の順序と呼びます。
例: 消えやすさの順番
| 順番 | 証拠 | 消えるとき |
|---|---|---|
| 1 | メモリの中身 | 電源を切ったとき |
| 2 | ネットワークの接続 | 通信が終わったとき、再起動したとき |
| 3 | 実行中のプロセス | プログラムが終わったとき |
| 4 | ディスクのファイル | 上書きしたとき、消したとき |
| 5 | 外部のログとバックアップ | 保存期間が過ぎたとき |
学生が入力するセルは、このプレビューでは空白です。
ラボの証拠は書き換えられるか
test -w case/etc/passwd && echo writable || echo read-onlyここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
原本は触らず、複製を調べる
原本を直接開くと、アクセスの時刻が変わることがあります。調べ物のために、原本を汚してはいけません。
そこで、先に複製を作ります。調べるのは複製だけです。cp -a は、時刻などの属性をできるだけ残してコピーします。
証拠のフォルダを複製する
cp -a case copy1ここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
複製が同じ内容か比べる
diff -r case copy1 && echo sameここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
誰が、いつ、何をしたかを残す
証拠は、集めたあとの扱いも問われます。途中で誰かが書き換えたかもしれない、と疑われたら、証拠の価値は下がります。
そこで、扱った人、時刻、したことを、順に記録します。これが保管の連鎖です。時刻は、世界共通のUTCで書きます。
例: 保管の連鎖の記録
| 日時(UTC) | 扱った人 | したこと | 渡した相手 |
|---|---|---|---|
| 2026-11-03 00:10 | 佐藤 | サーバーのログを複製した | 田中 |
| 2026-11-03 01:30 | 田中 | 複製のハッシュ値を記録した | 保管庫 |
| 2026-11-04 05:00 | 鈴木 | 保管庫から出して調べた | 保管庫 |
学生が入力するセルは、このプレビューでは空白です。
時刻のゾーンをUTCにそろえる
date -u +%Zここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
記録を1行書く
printf '%s | %s | %s\n' "2026-11-03 00:10 UTC" "copied auth.log" "Sato" > custody.txtここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
書いた記録を読む
cat custody.txtここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
よくある間違い
注意
調べたいからと、原本のファイルを直接開く人がいます。開くだけで、アクセスの時刻が変わることがあります。先に複製を作り、調べるのは複製だけにしましょう。複製を作ったら、その事実も記録に残します。