フォレンジック報告書とは
フォレンジック報告書とは、調査で分かったことを、他の人に伝える文書です。良い報告書は、読んだ人が同じ証拠を見て、同じ結論にたどり着けるように書かれています。
そのためには、事実と意見を分けること、そして分からなかったことも書くことが大切です。
このレッスンのゴール
メモ
事実と意見を分け、他の人が確かめられる報告書を書くことができる。
キーワード
| ことば | いみ | れい |
|---|---|---|
| 事実 | 証拠で確かめられること | ログの12行目に、失敗が記録されている |
| 意見 | 事実から考えた推測や判断。証拠だけでは決まらない | |
| 根拠 | 事実や意見を支える証拠。どのファイルの何行目かまで示す | |
| 再現 | 他の人が同じ手順で、同じ結果を確かめられること | |
| 限界 | 証拠が足りなくて、分からなかったこと | |
| 要約 | 報告書の最初に置く、結論のまとめ |
学生が入力するセルは、このプレビューでは空白です。
事実と意見は、どう違うのか
事実は、証拠を見せれば、誰でも確かめられることです。意見は、事実をもとにした考えで、証拠だけでは決まりません。
報告書では、この2つを別の場所に書きます。混ざると、読み手は何が確かなのか分からなくなります。
例: 事実と意見の見分け方
| 文 | 種類 | 理由 |
|---|---|---|
| auth.log の12行目に、失敗が記録されている | 事実 | 行を見れば確かめられる |
| 同じアドレスから、20回の失敗がある | 事実 | 数えれば確かめられる |
| おそらく自動のツールで試された | 意見 | 間隔が一定だからという推測 |
| 犯人は海外の人物だ | 意見 | 誰がやったかを示す証拠がない |
学生が入力するセルは、このプレビューでは空白です。
報告書は、決まった順に書く
最初に要約を置き、結論を伝えます。次に背景と、使った方法を書きます。発見は、事実と証拠を組にして並べます。
意見は、発見とは別の欄に書きます。最後に、限界と、付録を置きます。
発見を、事実と意見に分けて書く
printf 'FACT: 3 failed logins (auth.log lines 2-4)\nOPINION: probably a script\n' > findings.txtここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
事実の行を数える
grep -c '^FACT' findings.txtここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
意見の行だけを読む
grep '^OPINION' findings.txtここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
報告書にハッシュ値を付ける
sha256sum findings.txtここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
分からなかったことも書く
証拠が足りなくて分からないことは、正直に書きます。書かないと、読み手は、調べ尽くしたのだと思います。
限界を書くのは、弱みを見せることではありません。どこまで確かで、どこから先は分からないかを、正確に伝える仕事です。
例: 限界の書き方
| 悪い書き方 | 良い書き方 |
|---|---|
| 攻撃は、これですべてだ | 残っていたログは当日分だけで、それ以前は分からない |
| 時刻は正しい | サーバーの時計は、確認していない。UTCとの差は不明 |
| 犯人は特定できた | このアドレスからの接続は確認できた。誰かは分からない |
学生が入力するセルは、このプレビューでは空白です。
よくある間違い
注意
意見を、事実のように書く人がいます。「犯人は〇〇だ」と書いて、証拠を示さないものです。事実には必ず根拠をつけます。根拠がなければ、意見の欄に移し、「おそらく」「可能性がある」と書きましょう。