デジタルフォレンジックは、セキュリティインシデント発生後に何が起こったかを調査する分野です。調査員は、ディスク、メモリ、ネットワークログ、モバイルデバイスなどから証拠を収集し、法廷で有効となるよう慎重に保存します。この作業は、技術的な側面と手続き的な側面の両方を含みます。手順を一つでも間違えると、証拠が無効になる可能性があります。証拠保全、書き込みブロッカー、ハッシュ検証は標準的な手順です。

調査は疑問に答えます。攻撃者はどのように侵入したのか？何にアクセスしたのか？どれくらいの時間侵入していたのか？データを外部に持ち出したのか？これらの答えが対応と法的戦略を形作ります。フォレンジックはインシデント対応も支援します。攻撃を理解することで、攻撃を封じ込め、再発を防ぐことができます。ツールはEnCaseやFTKのような商用スイートから、AutopsyやVolatilityのようなオープンソースのオプションまで多岐にわたります。メモリフォレンジックは、マルウェアがRAMにのみ存在し、ディスクに痕跡を残さないことが多いため、特に価値があります。モバイルフォレンジックは独自の専門分野であり、暗号化されたデバイスやクラウドバックアップが複雑さを増しています。この分野は常に進化しています。新しいデバイス、新しいオペレーティングシステム、新しい暗号化方式が新たな課題を生み出します。調査官は適応します。

法医学的証拠源

• ディスクイメージ ― ファイル、削除されたデータ、およびアーティファクト
• メモリダンプ - RAM 内の実行中のプロセスとマルウェア
• ネットワークログ — トラフィックパターンと接続状況
• モバイルデバイス — メッセージ、アプリ、位置情報データ

鑑識は単に犯罪者を捕まえることだけが目的ではない。何が起こったのかを理解し、二度と同じことが起こらないようにすることが目的なのだ。