コピーしたら、証拠になる？——揮発性・電源・ディスクイメージ・ハッシュ値・Chain of Custodyを午後の問われ方で読む｜支援士解説4の4

この記事の重要度：Bランク（午後では小問や問題文の前提として問われる分野。用語は午前II（科目A-2）でも問われる）

この記事で分かること：

• デジタルフォレンジックスの工程と、揮発性の高い情報から残す順番の考え方
• 電源が入っている機器と切れている機器の扱い、ディスクイメージと通常のコピーの違い
• ハッシュ値の一致で分かること・分からないこと、Chain of Custody、証拠からどこまで言えるか

シラバスとの対応：小項目4-4「証拠の収集及び分析」。インシデント対応の初動と封じ込めは支援士解説4の3、ログの読み方と時刻の扱いは支援士解説3の4、ハッシュ関数と電子署名の仕組みは支援士解説3の1、マルウェアの解析は支援士解説3の2で扱います。

---

不正な持ち出しが疑われるPCが見つかりました。利用者が気を利かせて再起動し、最近使ったファイルを開いて確かめた後、フォルダごとUSBメモリにコピーして持ってきてくれました。このコピーは証拠として使えるでしょうか。起動と閲覧でログやファイルの時刻は更新され、電源を切ったことでメモリ上の情報は消え、コピーには削除済みのデータも取得の条件も残っていません。証拠保全は、ファイルを集めることではなく、後から「どの情報から、どう判断したか」をたどれるように残すことです。

午後の問題では、感染した端末の電源をなぜ入れたままにするのか、フォレンジックのために何を取得するのか、消されたファイルをどう取り戻すのか、休止状態で保管すると何がよいのかが、インシデントの大問の中で問われます。この記事では、工程、残す順番、電源、取得の方法、ハッシュ値、取扱いの記録、分析、専門家への依頼の順に整理します。

1. 証拠保全は、ファイルを集めるだけではない

デジタルフォレンジックスで何をするのか

デジタルフォレンジックスは、デジタル機器やサービスに残る情報を適切に収集し、調べ、出来事の解明に役立てる技術と活動です。対象は不審な実行ファイルだけではありません。認証の記録、設定の変更、通信、文書の操作履歴なども手掛かりになります。

大切なのは、後で結果を受け取る人が「どの情報から、どのように判断したのか」をたどれることです。調査担当者が結論だけを覚えていても、その根拠が残っていなければ、追加調査や別の担当者による確認が難しくなります。

NIST SP 800-86は、フォレンジックの工程を、収集、検査、分析、報告の四つに整理しています。これは考えるための区分であり、現場では分析結果を受けて追加収集へ戻ることもあります。NIST SP 800-86、2006年8月、3章

例えば、架空の文書持出し疑いを、この四つで考えてみます。

• 収集：対象PCの情報、文書サービスの監査ログ、認証ログを、範囲と取得条件を記録して残す。
• 検査：取得したデータから、対象期間の文書操作やログインに関する記録を抽出する。
• 分析：抽出した操作が同じ接続に関係するか、通常業務で説明できるかを照合する。
• 報告：確認した操作、影響の範囲、判断できなかった事項を、根拠とともに伝える。

検査は、データから調べたい情報を取り出す作業です。分析は、その情報の意味と関係を考える作業です。ツールが「download」という文字を抽出しただけでは、誰が何をどこへ持ち出したかまで分かったことにはなりません。

バックアップとの違いは、主な目的と説明すべき事項

バックアップは、障害や誤操作などで失われたデータやシステムを復元するために用意します。証拠保全では、ある時点の情報を調査に使える形で残し、その取得や取扱いを説明できるようにします。

バックアップも調査資料になり得ます。例えば、不審な設定がいつから存在したかを、過去のバックアップと比較することがあります。ただし、保存間隔、取得対象、世代の上書きなどによって、必要な時点の情報が残っていない場合があります。

反対に、証拠として取得した媒体イメージがあっても、それだけで業務を安全に復元できるとは限りません。不正なプログラムや設定を含んでいる可能性があるからです。

残したデータの名前ではなく、目的・範囲・取得条件を確かめます。

変更を避けることと、変更を記録すること

調査のための操作でも、対象の状態は変わり得ます。稼働中の端末で調査用プログラムを動かせば、そのプログラム自身がメモリを使います。ログインして情報を取得すれば、調査者のログインが記録されることもあります。

そこで、不要な変更を減らし、必要な操作については実施者、時刻、目的、方法、影響を記録します。「一切変えていない」と言い切ることを目標にするより、変化を抑え、何を行ったか説明できることが重要です。

例えば、9時20分に調査担当者が接続情報を取得したなら、その操作を記録しておきます。後で9時20分の活動が見つかったとき、攻撃者の活動と調査作業を混同しないためです。

記述の型

• フォレンジックの工程：「収集・検査・分析・報告」
• 調査の操作を記録する理由：「調査の作業による変化と、攻撃者の活動を区別できるようにする」

【図1】証拠を残し、判断までの道筋を説明する

2. 何を、どの順番で残すのか

調査したい問いから、対象を広げる

不審な操作が見つかったPCだけを調べても、認証の経路や外部サービス側の操作は分からない場合があります。まず「何を確かめたいか」を言葉にし、その問いに答えられる情報源を探します。

例えば、「文書が外部に取得された可能性を調べる」という問いなら、候補は次のようになります。

• 端末：実行中のプログラム、接続先、関連ファイル、操作の痕跡。
• 認証基盤：使用したアカウント、認証時刻、端末や接続元に関する記録。
• 文書サービス：対象文書、操作種別、共有設定、操作の成否。
• ネットワーク：通信先、通信量、許可・拒否、名前解決などの記録。
• 業務側の資料：作業申請、承認、担当者の説明、通常の処理予定。

記録の項目や保持期間は、製品、設定、契約で異なります。上の項目が必ず全部残るわけではありません。取得可能性を確認し、残っていないものも記録します。

揮発性とは、情報が失われやすい性質

RAMは、実行中のプログラムが使う主記憶です。通常、電源を失うと内容が失われます。実行中のプロセスや接続の状態も時間とともに変化します。このような情報を、揮発性の高い情報として扱います。

一方、ディスクに保存されたログは、電源を切っただけで直ちに消えるとは限りません。しかし、稼働を続けて古い記録が上書きされれば、やはり失われます。ログの自動削除や、クラウド側の保存期限も考える必要があります。

RFC 3227は、揮発性を考慮した収集順序の例と、取扱いを追跡する記録の考え方を示しています。2002年の資料なので、具体的な機器構成やコマンドをそのまま現在の環境に適用するのではなく、消えやすい情報を意識する原則として学びます。RFC 3227、2002年2月、2.1節・4.1節

優先順位は、揮発性だけでは決まらない

例えば、架空の調査で、端末のメモリを取得できる担当者が到着するまで1時間かかり、クラウドの重要なログは30分後に保存期限を迎えるとします。

このとき、「メモリの方が揮発性が高いので、それが終わるまでログには手を付けない」と待つと、取得できたはずのログを失います。権限のある担当者がログを保全し、別の担当者が端末の保全準備を進める方法を検討できます。

本稿では、保全の計画を次の問いで整理することを提案します。

• その情報は、何の判断に必要か。
• いつ、何が起きると失われるか。
• 誰に取得権限があり、どれだけ時間がかかるか。
• 取得作業が対象や業務へ与える影響は何か。
• ほかの保全作業や封じ込めと並行できるか。

全部を取れない場合も、選んだ理由と取得できなかった範囲を残します。記録がない範囲を、後の報告で調査済みとして扱わないためです。

記述の型

• 揮発性の高い情報：「電源を失うと消えるメモリの内容、実行中のプロセス、通信の状態」
• 優先順位の決め方：「失われるまでの時間、判断に必要か、取得できる人と時間、作業の影響で決める」

【図2】何を残すかは、調べたい問いから決める

3. 電源が入っているかで、判断が変わる

電源が切れている機器を、確認のために起動しない

電源が切れた対象を通常起動すると、OSやアプリケーションが動き、ログやファイルなどが更新される可能性があります。調査したい状態に、新しい活動を加えることになります。

そのため、停止状態の機器を見つけたら、まず外観、接続、識別情報、発見時刻、分かっている経過を記録し、定められた窓口へ連絡します。一般の利用者が「中身を確かめるため」に起動することは避けます。

これは、専門家も絶対に起動してはならないという意味ではありません。目的と機器の構成に応じて、管理された環境で起動を伴う方法を選ぶ場合はあります。日常の確認操作と、影響を評価した取得手順を区別しましょう。

電源が入っている場合、失われる情報と続く被害を考える

稼働中の機器では、メモリや接続状態など、その時点でしか取得できない情報が候補になります。保存領域が暗号化されている機器では、稼働中に利用できている情報へ、停止後はアクセスしにくくなる場合もあります。

一方、その機器でデータの破壊や不正操作が続いているかもしれません。ネットワークを切断しても、端末内部で進む処理が止まるとは限りません。

したがって、電源を維持するか、停止するかは、被害の進行、安全、隔離手段、保全の見込み、業務影響を踏まえて決めます。人身の安全に関わる状態まで、証拠のために放置する判断にはなりません。

稼働中の取得は、その瞬間の完全な静止画ではありません。取得の操作そのものが状態を変え、取得している途中にもデータは変わります。取得の開始と終了の時刻と、使った方法を記録します。

NIST SP 800-86の3.1.3節は、封じ込めとデータ収集の関係を扱っています。また、SWGDEの取得手順は、暗号化や稼働中取得の条件を考慮しています。古い手順の一文を根拠に、すべての端末で同じ電源操作を選ばないことが大切です。NIST SP 800-86、3.1.3節、SWGDE「Best Practices for Computer Forensic Acquisition」、Version 2.1、2025年8月5日、4.2節・7.3節

暗号化されたノートPCの例

例えば、起動中のノートPCで不審な操作が見つかり、保存領域は暗号化されているとします。回復に必要な情報の所在は、まだ確認できていません。

この状態で、機器を停止してディスクを取り外せば必ず解析できる、と考えるのは危険です。取得した内容が暗号化されたままで、調べたい文書を読めない可能性があります。記憶装置が機器の構成と結び付いている場合もあります。

担当者は、次を専門家と相談します。

• 現在の電源・ログイン・暗号化の状態は何か。
• 被害を抑えながら状態を維持できるか。
• メモリや、現在読み取れるデータを取得する必要があるか。
• 回復に必要な鍵や情報を、正当な権限で確保できるか。
• 停止や取外しによって失うものは何か。

メモリを取れば必ず復号鍵が得られる、とも限りません。取得の目的と成功条件を確認し、得られなかった情報も残します。

午後での問われ方

• 令和元年度秋期 午後I問3：標的型攻撃への対応の手順が題材でした。C&Cサーバと通信したPCを特定したら、電源が入っていれば電源を入れたままにし、LANケーブルを抜いて利用者のLANから切り離す手順でした。電源を入れたままにする目的として、解答例は「メモリ上の情報が失われないようにするため」です。切り離さない場合に想定される活動として「J社情報システムに感染を拡大する。」と「インターネットに情報を送信する。」が示されています。電源は残し、ネットワークだけを切ることで、保全と被害の拡大の防止を両立しています。
• 平成29年度秋期 午後I問1：ランサムウェアの被害が題材でした。暗号化に使った共通鍵をメモリから消さない種類のランサムウェアなら、PCをハイバネーション（休止状態）で保管しておけば、後で復号ツールが提供されたときに復号できる場合がある、と説明されています。シャットダウンすると可能性が低くなる理由として、解答例は「PC内で一時的に作成されたメモリ上の共通鍵が消えてしまうため」です。

記述の型

• 電源を切らない理由：「メモリ上の情報（プロセス、通信、鍵）が失われないようにするため」
• ネットワークから切り離す理由：「感染の拡大と、外部への情報の送信を止めるため」

【図3】電源は、状態と影響を見て判断する

4. 通常のコピー、ディスクイメージ、取得の記録

普通にファイルをコピーすると、何が残るか

通常のファイルコピーでは、選んだファイルの内容を保存できます。一方で、コピーの方法や保存先によって、元の時刻情報や権限などが同じ形で残るとは限りません。削除済みの情報や、選ばなかった領域も対象外になります。

だからといって、通常コピーには価値がないわけではありません。ほかに方法がない場面や、特定のファイルを優先して確保する場面もあります。ただし、どの方法で何を取得し、何を含んでいないかを説明できる必要があります。

「フォルダをコピーしました」という報告なら、調査担当者は取得日時、元の場所、対象範囲、使用した方法、エラーの有無を追加で確認します。

物理取得と論理取得

物理取得は、媒体の読み取れる領域を、ビット列として取得する考え方です。ディスクイメージは、そのように取得したディスクの内容を保存したものです。通常のファイル一覧に見えるデータだけでなく、取得範囲に含まれる未割当領域なども調査対象になり得ます。

未割当領域は、ファイルシステム上で現在のファイルに割り当てられていない領域です。削除後のデータが一部残っていれば、調査の手掛かりになる場合があります。ただし、イメージを取れば削除済みファイルを必ず復元できるわけではありません。

論理取得は、ファイルやフォルダなど、システムが論理的に扱う対象を取得する考え方です。対象を絞りやすい一方、取得対象外の領域は含まれません。使う方法によって、残せる属性情報も異なります。

取得するときの機器の状態（稼働中か、停止状態か）は、物理取得か論理取得かとは別の観点です。稼働中の機器から論理取得することもあれば、通常のOSを動かさない方法で、停止した機器の媒体を取得することもあります。

また、物理取得をしても、障害や機器の制約などで読めない領域があれば、すべての内容を取得できたことにはなりません。取得を終えたら、使ったツールとその版・設定、取得の時刻、取得範囲、エラー、保存先、検証の結果を作業記録に残します。SWGDE「Best Practices for Computer Forensic Acquisition」、Version 2.1、7.1節・7.2節・8節

ライトブロッカーは、取得元への書込みを防ぐ手段

ライトブロッカーは、取得環境から対象媒体への書込みを防ぐための機器や仕組みです。調査用PCへ媒体を接続しただけで、OSが情報を更新してしまうことなどを防ぐ目的で使います。

ただし、接続経路や機器に対応していなければ、想定どおりには使えません。「ライトブロッカーを持っている」ことと、「今回の接続構成で書込みを防げること」を分けて確認します。

また、ライトブロッカーがすべてのデータの変化を止めると考えないことも大切です。保護するのは、その仕組みが対応する書込み経路です。取得対象の特性や内部動作まで一律に停止させる道具ではありません。

午後での問われ方

• 令和3年度秋期 午後I問3：営業部のPCから、サーバへのログインの失敗が多数記録されていた事案が題材でした。マルウェアの感染拡大を防ぐための初動の対応として、解答例は「LANから切り離す。」です。PCを回収し、デジタルフォレンジックスによる調査のために取得した必要な情報として「ディスクイメージ」が問われました。
• 平成31年度春期 午後II問1：無線LANを経由したマルウェアの感染が題材でした。調査のために端末のHDDを、ファイル単位ではなくセクタ単位で全セクタ複製した理由が問われました。想定した調査の内容として「削除されたファイルの内容」、その手段として「空きセクタの情報からファイルを復元する。」が解答例に示されています。

採点講評で指摘されたつまずき

• 平成31年度春期 午後II問1では、この設問の正答率が低かったとされています。マルウェアは発見されないよう自らの動作や存在の痕跡を消すことが多く、消されたファイルも大きな手掛かりになるので、証拠保全の方法を理解しておいてほしいとされています。（補足：通常のファイルのコピーでは、空きセクタ（未割当領域）は取れません。）

記述の型

• ディスクイメージを取る理由：「削除済みのデータが残る未割当領域を含め、媒体の内容を調査できるようにする」
• 削除されたファイルの調べ方：「ディスクイメージの空きセクタ（未割当領域）の情報から、ファイルを復元する」

【図4】取得する状態と範囲は、別の観点

5. ハッシュ値の一致で、何が分かるのか

ハッシュ値は、入力データから計算する値

暗号学的ハッシュ関数は、入力データから固定長の値を計算する仕組みです。同じ関数へ同じデータを入力すれば、同じハッシュ値になります。内容が変わると、通常は異なる値になります。SHA-256は、NISTが示すSHA-2系列に含まれます。NIST「Hash Functions」、SHA-2系列の説明

証拠保全では、例えばSHA-256などを使い、保管したデータと作業用コピーを比較します。適切なハッシュ関数で、同じ範囲のデータを比較して一致すれば、同一の内容であることを確認する有力な手段になります。

ただし、ハッシュ値だけから元のデータを復元することはできません。ハッシュ値を控えて元のファイルを削除してしまうと、分析に必要な内容を失います。

取得時と受渡し時をつなぐ例

架空の例として、取得したログファイルに E-01 という管理番号を付けたとします。取得直後にSHA-256の値を計算して、取得記録に保存します。

その後、分析担当者へ作業用コピーを渡し、受領側でも同じアルゴリズムでハッシュ値を計算します。一致すれば、渡されたファイルが、比較元と同じ内容であることを確認できます。

このとき必要なのは、値だけではありません。どのファイルについて計算した値か、誰がいつ計算したか、比較元の値をどこで管理したかも残します。ファイルと記録の両方を自由に差し替えられる保管方法では、確認の信頼性が弱くなります。NIST IR 8387も、取得元の記録とハッシュ値の安全な管理を扱っています。NIST IR 8387「Digital Evidence Preservation」、2022年9月、3.2節

一致しても、取得前の出来事は証明できない

ここが最も混同しやすいところです。

例えば、不正な操作でログの内容が変更された後、そのログを取得してハッシュ値を計算したとします。その後のコピーが同じハッシュ値でも、取得前に書かれた内容の真実性まで保証されません。

また、別の端末から取ったファイルを誤って E-01 と登録し、その後は正確にコピーし続けた場合も、ハッシュ値の一致だけでは取得元の取り違えを発見できません。

ハッシュ値は、内容の比較を支えます。出所の記録や分析の代わりにはなりません。

同様に、ログに特定のアカウント名があっても、それだけで名義人本人が操作したと確定しません。アカウントの不正利用、共有、処理の自動実行など、状況を調べる必要があります。

ハッシュ値、電子署名、タイムスタンプを混同しない

ハッシュ値は、データを比較するための値です。電子署名を検証すると、署名した後にデータが改ざんされていないことと、その署名が対応する秘密鍵で作られたことを確かめられます。タイムスタンプは、対象データと時刻を結び付けるために使われる仕組みです。

証拠保全では、これらを組み合わせる場合もあります。ただし、どれか一つがあれば、取得対象の選択、取得元の確認、取扱い記録が不要になるわけではありません。署名された説明文であっても、その説明が事実に合っているかは別に検討します。

本稿で押さえるのは、ハッシュ値による比較の対象と限界です。暗号技術そのものの詳細とは分けて理解しましょう。

並べ替えなどで加工したファイルは、ハッシュ値が変わって当然です。値が違うだけで攻撃者の改ざんと断定せず、取得したファイルはそのまま保管し、加工は作業用のコピーに行います。ハッシュ関数と電子署名の仕組みは支援士解説3の1で扱います。

記述の型

• ハッシュ値で確かめること：「保管したデータと作業用のコピーの内容が同じであること」
• ハッシュ値で分からないこと：「取得する前にデータが書き換えられていなかったか、誰が操作したか」

【図5】ハッシュ値の一致は、何を確かめるのか

6. Chain of Custodyで、取扱いをつなぐ

証拠保全の一貫性とは

Chain of Custodyは、証拠が発見・取得されてから、誰に管理され、どこへ渡り、どう扱われたかを追跡できるようにする考え方です。シラバスでは「証拠保全の一貫性」と示されています。

目的は、途中で別のものに入れ替わっていないか、どのような操作が加わったかを、記録に基づいて説明できることです。ファイルのハッシュ値はその一部を助けますが、人、場所、権限、受渡しの経過をすべて表すものではありません。

RFC 3227の4.1節では、発見・収集、取扱い、保管、受渡しなどの経過を記録する観点が示されています。RFC 3227、4.1節

管理番号から、元の対象までたどれるようにする

例えば、架空の証拠管理記録を次のように設計します。以下は本稿の記入例であり、法令で定められた共通様式ではありません。

• 事案番号：INC-204。
• 証拠番号：E-01。
• 対象：文書サービスの監査ログ出力ファイル。
• 取得元：契約AのテナントT、監査ログ出力機能。
• 対象範囲：2026年9月18日0時から19日0時まで、日本標準時。
• 取得者と取得日時：担当者A、9月19日10時12分から10時15分。
• 取得条件：指定した操作種別、対象アカウント、出力形式、件数。
• 確認：取得結果、エラーの有無、ハッシュ値とそのアルゴリズム。
• 保管：アクセスを限定した保管先、管理責任者。

実際の記録には、省略しないハッシュ値や、対象を正確に識別できる情報を残します。公開用の報告書に、そのまますべてを載せるという意味ではありません。

期間だけでなく、検索条件も大切です。特定アカウントだけで絞った出力を、サービス全体の記録として扱うと、調査範囲を誤ります。

受渡しでは、渡した側と受け取った側をつなぐ

外部の分析担当者へ渡す場合は、例えば次を記録します。

• どの証拠番号の、どのコピーを渡したか。
• 誰から誰へ、いつ、どの方法で渡したか。
• 何の目的で、どの範囲の利用を認めたか。
• 受領確認と、ハッシュ値などの照合結果。
• 保管場所や管理責任が、どう変わったか。
• 返却・削除など、依頼終了後の取扱い。

メールを送った事実だけでは、受領や内容の一致まで確認したことにはなりません。送付記録と受領記録を結び付けます。

紙の署名があれば十分、特定の管理システムがなければ無効、と一律に決めるものでもありません。必要な事実を、後から検証できる形で残せているかが要点です。法的な手続に使う場合の具体的な要件は、専門家と確認します。

保管用と作業用を分ける

分析では、抽出、変換、並べ替え、検索などが必要です。そこで、取得したデータを保管するものと、分析に使う作業用コピーを分けます。

元の媒体、取得したイメージ、そこから抽出したファイル、報告書は、それぞれ別のものです。全部を「原本」と呼ぶと、何を保護しているのか分かりにくくなります。証拠番号と派生関係で区別しましょう。

例えば、E-01 のコピーから対象アカウントの操作を抽出したものを E-01-A とし、使った条件とツールを記録します。報告書には、結論の根拠が E-01-A のどの記録か、さらに元の E-01 へ戻れるようにします。

集めたデータには、個人情報や認証情報が含まれることがあります。証拠の保管場所は、必要な担当者だけがアクセスできるようにし、保存期間と終了後の扱いを決めます。

記述の型

• Chain of Custodyの目的：「証拠が誰の管理下で、どこへ渡り、どう扱われたかを追跡できるようにする」
• 受渡しで残すこと：「渡したコピーの識別、渡した人と受け取った人、日時、目的、受領時の照合の結果」

【図6】Chain of Custody：取扱いを追跡する

7. 証拠から、どこまで言えるかを考える

まず、問いと観測できる範囲を合わせる

「情報が漏えいしたか」という問いは大きいため、確かめたい事実に分けます。

例えば、対象アカウントで認証が成功したか。どの文書へアクセスしたか。どの操作が成功したか。外部の宛先へデータが送られた形跡があるか。その操作は承認された業務か。

一つのログで全部に答えられるとは限りません。認証ログは文書の内容を記録していないかもしれませんし、通信量だけでは送信したファイルを特定できないかもしれません。

問いを分けると、足りない証拠も分かります。「分からない」を残すことは、調査の失敗を隠さないというだけでなく、次に何を調べるかを決めるために役立ちます。

時刻をそろえる前に、元の時刻を残す

ログを並べるときは、タイムゾーン、時刻のずれ、記録される時点を確認します。タイムゾーンは、その時刻がどの地域などの時間基準で表されているかを示すものです。

UTCは、世界の時刻の基準となる協定世界時です。例えば、同じ日付の日本標準時9時05分とUTCの0時05分は、時差が9時間なので同じ時点です。この違いを無視すると、別の出来事のように扱ってしまいます。

さらに、機器の時計が3分進んでいる可能性や、処理の発生時刻ではなくログの受信時刻を記録している可能性もあります。単純に時刻で並べただけでは、操作の前後関係を誤ることがあります。

分析用には共通の時間基準へ変換しますが、取得した元データは上書きしません。元の値、変換後の値、変換方法、ずれの根拠、不確かさを対応付けます。ずれが正確に分からないなら、秒単位で前後を断定しないようにします。

架空のケース：PC-17から文書が持ち出されたのか

ここからは、仕組みを学ぶための架空のケースです。特定製品のログ仕様を表すものではありません。

ある組織で、次の記録が見つかったとします。

• 認証ログ：9月18日0時05分UTC、アカウント u17 の認証成功。接続を識別する値は s17。
• 文書サービスのログ：9月18日9時07分日本標準時、接続 s17 で文書 D-8 のダウンロード成功。
• 端末管理の記録：PC-17には、9月18日8時50分日本標準時以降の記録が届いていない。
• 業務の作業申請：当日9時から、文書移行の作業予定がある。ただし、対象文書と実行アカウントの確認は未了。

認証と文書操作の時刻をそろえると、9時05分の認証から2分後に、同じ接続識別子による操作が記録されています。

ここで言えるのは、このケースのログ仕様を前提に、アカウント u17 の接続 s17 で文書 D-8 のダウンロード成功が記録された、ということです。

一方、PC-17の記録が届いていないため、その操作をPC-17から行ったかは、この情報だけでは確認できません。アカウントの名義人が操作したか、承認された移行作業だったかも未確認です。ダウンロード先からさらに第三者へ渡ったかどうかも、この記録にはありません。

事実、推論、未確認事項を分ける

先ほどのケースを、報告の形へ直してみましょう。

確認した事実は、認証成功と文書操作の記録があり、接続識別子が一致することです。取得したログの対象範囲と取得条件を添えます。

推論は、両方の記録が同じ接続に関する一連の操作を示している可能性が高い、という整理です。ただし、識別子の意味と一意性は、サービスの仕様で確認する必要があります。

未確認事項は、実際の端末、操作者、作業の承認、取得後の利用です。ここは、端末や提供者側の追加記録、作業責任者への確認などで調べます。

「PC-17の利用者が文書を盗んだ」と報告すると、複数の未確認事項を飛び越えてしまいます。反対に、「移行予定があるので問題なし」とするのも、対象と実行条件を確認していません。

ログがないことと、操作がないことは違う

PC-17の記録が届いていない理由としては、通信の問題、監視機能の停止、保存対象外、意図的な妨害など、複数の可能性があります。欠落だけで、攻撃者が消したとは断定できません。

同時に、欠落した時間帯について「不審な記録がないので安全」とも言えません。観測できなかった範囲と、調べた上で該当記録がなかった範囲を分けます。

クラウドのログ出力では、対象期間、検索条件、権限、件数制限、複数ページの取得漏れなども確認します。例えば、最初の100件だけを出力したものを全件と扱うと、後半の記録を見落とします。

記述の型

• 時刻の扱い：「元の時刻を残したまま、タイムゾーンと時計のずれを補正した値を別に記録する」
• ログがない範囲：「記録が届いていない期間は、操作がなかったとは言えず、未確認として扱う」

【図7】記録から、どこまで言えるかを分ける

8. 専門家に、何を頼めばよいのか

自分で全部解析することだけが、支援ではない

支援士に求められるのは、必要な指導・助言を行い、適切な対応を支えることです。特殊な媒体の取得、暗号化された機器、破損した装置、大規模なクラウド調査などでは、経験や専用の設備が必要になる場合があります。

取得に失敗してから専門家へ相談すると、既に情報が失われているかもしれません。自組織の手順と能力では難しいと分かった段階で、保全方法から相談することが重要です。

ただし、「専門家に渡せば全部分かる」とも限りません。既に消えた記録、取得権限がない情報、技術的に読めないデータなどは、調査の制約として残る場合があります。

法的な判断（取得してよいか、第三者に提供してよいか）が必要な場合も、保全の段階から相談します。技術の調査と法的な判断は区別し、法的な判断は法務の担当や弁護士などと確かめます。取得できることと、取得・提供してよいことは別です。

依頼は、結論を指定せず、確認したい問いを伝える

例えば、「漏えいがなかったと証明してください」という依頼では、結論を先に固定してしまいます。

代わりに、「対象期間に、このアカウントでどの文書への取得操作が記録されたか」「保存された情報から、外部送信の有無をどこまで判断できるか」と、問いと対象を伝えます。

本稿の依頼事項の例は、次のとおりです。

• 背景：何を検知し、どのような被害が懸念されているか。
• 問い：何を確認し、その結果を誰の判断に使うか。
• 対象：機器、媒体、サービス、アカウント、期間。
• 現在の状態：電源、接続、暗号化、実施済みの操作。
• 制約：業務停止の許容範囲、保存期限、取得権限、費用。
• 成果物：取得データ、取扱い記録、分析報告、未確認事項、説明の機会。

緊急の保全と詳細分析を分けて依頼する方法もあります。例えば、消えるおそれのあるログを先に確保し、その後、調査範囲と費用を詰める進め方です。契約や権限の確認を省略するという意味ではありません。

【図8】専門家へ、問いと条件を具体的に伝える

9. 午前II（科目A-2）で正誤を見分けるポイント

• 「デジタルフォレンジックスの工程は、収集・検査・分析・報告に整理できる」→ 正しい
• 「証拠の収集は、ディスクのデータからメモリの内容の順に行う」→ 誤り。揮発性の高いメモリの内容などから先に考える。RFC 3227の例示では、レジスタ・キャッシュ → ルーティングテーブル・ARPキャッシュ・プロセステーブル・カーネル統計・メモリ → 一時ファイル → ディスク → 遠隔のログと監視データ → 物理的な構成・ネットワークの構成 → アーカイブ用の媒体の順
• 「電源が切れているPCは、中身を確かめるためにまず起動する」→ 誤り。起動でログやファイルが更新される
• 「ディスクイメージには、通常のファイルのコピーでは取れない未割当領域も含められる」→ 正しい
• 「ライトブロッカーは、取得の環境から対象の媒体への書込みを防ぐ」→ 正しい
• 「保管したデータとコピーのハッシュ値が一致すれば、取得する前の改ざんがなかったことも証明できる」→ 誤り。比較した内容の同一性が分かるだけ
• 「Chain of Custodyは、証拠の取扱いの経過を追跡できるようにする考え方である」→ 正しい
• 「分析は、取得したデータそのものに対して行う」→ 誤り。作業用のコピーで行い、取得したデータは保管する
• 「ログに記録がなければ、その時間帯に操作はなかったと判断できる」→ 誤り。記録が欠けた可能性がある
• 「タイムスタンプは、ある時刻にデータが存在したことを示すために使われる」→ 正しい

理解度チェック

本文の理解を確かめるためのオリジナル問題です。実際の過去問ではありません。

問1　電源が切れた端末

不正利用が疑われるPCが、停止した状態で見つかった。一般の利用者が最初に取る行動として、最も適切なものはどれか。

• ア：通常どおり起動し、最近使ったファイルを順に開く
• イ：状態と識別情報、分かっている経過を記録し、定められた窓口へ連絡する
• ウ：調査しやすいように、OSを更新する
• エ：機密情報を守るため、全てのファイルを削除する

正解：イ。停止したときの状態を保ち、必要な情報を添えて担当者へ引き継ぎます。アは起動や閲覧でログやファイルが更新されます。

問2　稼働中の暗号化された機器

暗号化されたノートPCで、不正な操作が疑われている。電源の扱いの考え方として、最も適切なものはどれか。

• ア：証拠のため、どのような被害が続いていても稼働を続ける
• イ：暗号化されているので、電源を落とせば必ず解析しやすくなる
• ウ：被害の進行、隔離の手段、揮発性の高い情報、暗号化の状態を確かめて保全の方法を決める
• エ：メモリを取得すれば、必ず復号に必要な鍵が得られる

正解：ウ。失う情報と続く被害の両方を考えます。イは、停止の後に暗号化されたデータへアクセスしにくくなる可能性を見落としています。

問3　ハッシュ値の一致

取得したログと、分析の担当者へ渡したコピーのSHA-256の値が一致した。この結果から適切に説明できるものはどれか。

• ア：同じ範囲を正しく計算した条件で、両者の内容が同一であることの有力な根拠になる
• イ：ログに記録されたアカウントの名義人が操作したことが確定する
• ウ：取得する前に、ログが変更されていなかったことが確定する
• エ：取得元や受渡しの記録は要らなくなる

正解：ア。比較した内容についての確認です。イの操作者の特定、ウの取得前の状態は、別の調査が要ります。

問4　加工したCSVの扱い

取得した監査ログのCSVを、時刻の順に並べ替えて分析したい。最も適切な対応はどれか。

• ア：取得したCSVに上書きし、加工の内容は記録しない
• イ：取得したCSVを保管し、作業用のコピーで加工して、処理の内容を記録する
• ウ：ハッシュ値さえ保存すれば、取得したCSVは削除してよい
• エ：並べ替えた後にハッシュ値が違えば、攻撃者の改ざんと断定する

正解：イ。元の取得データと分析の処理を分け、後から確かめられるようにします。ウは、ハッシュ値から内容を復元できないことを見落としています。

問5　Chain of Custody

証拠の取扱いの記録として、最も適切なものはどれか。

• ア：最終報告書を書いた人の氏名だけを残す
• イ：ファイル名を決めたら、保管場所は自由に変えてよい
• ウ：対象の識別、取得、保管、受渡し、分析の経過を関連付けて残す
• エ：信頼できる委託先なら、受領の確認は要らない

正解：ウ。証拠がどう扱われたかを追跡する考え方です。エでは、実際に受け取ったか、内容が一致するかを確かめられません。

実務と国・自治体では

実務では、善意の確認で対象を変えてしまうことが多くあります。利用者向けに、再起動や閲覧をせずに連絡する窓口と、状態・時刻・実施した操作を伝える方法を整えておきます。画面の写しだけで取得を終えず、元の出力データと取得の条件も確保します。保全の作業の記録を後から記憶で埋めると、対象を取り違えるので、作業と並行して記録する担当を決めます。調達では、ログの項目、保持期間、利用者が出力できる範囲、時刻の基準、緊急の保全を頼む連絡先と休日の対応を確かめます。

政府機関等の統一基準は、CSIRTが対処の内容を記録することを定めています。自治体向けのガイドラインは、緊急時対応計画の中で、ログと現状の保存、対処の経過の記録、証拠の保全と応急措置を並べています。保全が終わるまで被害の拡大を放置するのではなく、誰が切断を判断し、誰が保全し、どこへ報告するかを事前に整理します。資料の位置付けは支援士解説1の1で整理しています。

まとめ

• 証拠保全は、たどれるように残すこと。 収集・検査・分析・報告の工程で、調査の操作も記録する。バックアップとは目的が違う。
• 消えやすいものから、判断に必要なものを残す。 電源が入っていれば、手順に沿い、被害の進行と影響も踏まえて扱いを決める（メモリの情報を守るため、入れたままネットワークだけ切ることが多い）。切れていれば起動しない。
• 取得の方法と、ハッシュ値の意味を分ける。 ディスクイメージは未割当領域も含められる。ハッシュ値の一致は内容の同一性であって、取得前の正しさや操作者は示さない。
• 取扱いと結論をつなぐ。 Chain of Custodyで経過を追えるようにし、事実・推論・未確認を分けて報告する。ログがないことは操作がないことではない。

さらに深く学ぶなら

この記事の範囲を超えて、仕組みをもっと深く知りたい人向けの本です（試験対策の本ではありません）。

• 基礎から学ぶデジタル・フォレンジック 入門から実務での対応まで（安冨潔ほか）：デジタル・フォレンジックの基礎から実務での対応までを、体系的に学べる

関連記事

• 前提：インシデントから復旧したら、もう安全？｜支援士解説4の3（インシデント対応）
• あわせて読む：ログを取るだけで攻撃に気付ける？｜支援士解説3の4（ログの読み方と時刻）
• あわせて読む：暗号化すれば全て安全？｜支援士解説3の1（ハッシュ関数と電子署名）
• あわせて読む：ウイルス対策ソフトだけで防げるのか｜支援士解説3の2（マルウェアの解析）

2026年10月改訂：午後の出題例と記述の型を加え、各節を要点に絞って、確認問題を四択で作り直しました。