フォレンジックとは？種類や調査プロセス、課題について解説

コンピュータフォレンジックでは、パソコン本体に記録されているデータが調査対象です。

削除されたデータの復元や、外部メモリーが接続された痕跡の調査が行われます。例えば、社内で起きた横領事件の不正調査や、企業の持つ機密情報の持ち出しに対する調査などで活用されます。

ネットワークフォレンジックでは、ネットワーク上のパケットデータやメールの送受信、ウェブサイトの閲覧履歴などが調査対象です。

「いつ、どのような経路で、どの端末が、何のデータを送受信したのか」を記録・保全・分析します。情報漏洩やマルウェア感染の経路特定、ハッキング・不正アクセスの痕跡の保全、データ通信履歴の調査・解析などで活用されます。

モバイルデバイスフォレンジックでは、スマートフォンなどのモバイル端末が調査対象です。

調査内容は、発着信履歴のほか、メール・SMS、画像・動画、GPSの位置情報、使用履歴、アクセスログなど多岐にわたります。コンピュータフォレンジックと同様、不正アクセスや機密情報の漏洩などの調査で活用されます。

証拠保全は、初動としてとても重要なプロセスです。

不正アクセスなどの事故に発展する可能性のある危機（インシデント）が発生したら、発生時の状況を把握した後、データが残されているパソコンなどの記録媒体を収集し、証拠を保全します。証拠保全には、デュプリケータと呼ばれる特殊なツールを使って行い、記憶媒体内のすべてのデータを完全にコピーします。

データ解析は、証拠保全でコピーしたデータを分析できる状態に整える工程です。

例えば、データの作成日時や更新日時といった情報をもとにファイルを時系列に並べる、レジストリ解析などによりプロセス実⾏時刻を洗い出すといった作業を行うことで、データを「人が読み解ける状態」に整えます。削除されたデータの復元もここで行われます。

情報抽出は、データ解析で整えたデータの中から、調査の目的に応じて必要な部分を見つけ出し、原因を特定・検証する工程です。

例えば情報漏洩の調査なら、現存するファイルや故意に削除したファイル、インターネット閲覧履歴、パソコンに接続された外部ディスクの履歴などのデータを抽出します。それらを分析し、実際に情報が漏洩したのか、何が原因だったのかといったことを特定します。

報告は、調査プロセスにおける最終段階です。

情報抽出で抽出したデータと分析結果を整理し、報告書を作成します。この報告書を事例として活用し、今後の情報セキュリティ対策の強化に役立てます。

フォレンジックの課題のひとつは、時間がかかることです。

フォレンジックを実施するには、膨大なデータを収集・保全し、データ解析をします。調査を担当する調査会社やデータ量などによって異なるものの、今後は取り扱うデータ量が増えることで調査範囲が拡大し、調査日数が増えることが想定されます。

調査対象が多いということも、フォレンジックの課題として挙げられます。

近年は、モバイルデバイスやクラウドなどフォレンジックの対象が増加しているため、そこに格納されているデータ量も膨大です。そのため最近では、対象を必要最小限のデータに絞る、対象の端末にあらかじめネットワークフォレンジック製品を導入しておくといった対策で、データ収集の自動化・効率化を図る方法が注目されています。

フォレンジックの課題として、そもそも社内での対応が難しいことも挙げられます。

フォレンジックを行うには、パソコンやネットワーク、情報セキュリティ、法律に関する幅広い知識が不可欠ですが、社内にそのような人材がいる企業は多くはありません。調査会社に依頼しようにも、調査会社を探せない、調査会社を見つけてもその調査能力を判断できない、費用が適正かどうかわからないという場合が多く、フォレンジック導入の高いハードルとなっています。