ファスト・フォレンジックとは、サイバー攻撃や情報漏えいなど、セキュリティインシデントが発生したときに、迅速に被害の原因や範囲を把握する調査手法です。

インシデントが発生してから対応を始めるまでの時間が長いと、被害が拡大する可能性があります。一方、ファスト・フォレンジックでは必要なデータを迅速に収集・解析することで、早急な原因究明を行い、被害拡大を防ぐことができます。

本記事では、ファスト・フォレンジックの概要や活用事例、対応フローを解説します。

ファスト・フォレンジックとは

ファスト・フォレンジックとは、「デジタルフォレンジック」を迅速に行うために使われる手法です。デジタルフォレンジックとは、デジタル機器に保存されているデータを解析することで、インシデントの原因を究明し、侵入経路や不正な挙動を把握する調査手法です。

＼サイバーセキュリティ専門家へ24時間365日無料相談／

従来型フォレンジックとの違い

サイバー攻撃や不正アクセスなどのインシデントが発生した場合、1台の端末だけでなく、複数の端末が同時に被害を受けている可能性が高く、初動段階みおいて感染経路やマルウェアの拡散状況を包括的に調査しなければ、被害全体を正確に把握することはできません。

しかし、従来のフォレンジックでは、膨大なデータを解析するために、数日から数週間の調査期間が必要になることも少なくありませんでした。

そこでファスト・フォレンジックでは、必要最低限のデータを収集・解析することで、短時間でインシデントの状況を確認し、被害拡大の防止や早期復旧につなげることができます。

従来型フォレンジックとファスト・フォレンジックの主な違いは、以下のとおりです。

ファスト・フォレンジックで収集するデータ例と活用例

ファスト・フォレンジックでの収集データ例としては、以下のようなものが挙げられます。

• ログデータ：Windowsのシステムログやファイアウォールのログなど
• メタデータ：データそのものの属性を記述した情報
• メモリデータ：メモリ上に残された痕跡
• プロセスデータ：実行中のプロセスやサービスに関する情報
• ネットワークデータ：ネットワーク通信に関する情報（ブラウザ閲覧履歴、メールの送受信データ）

これらのデータは、インシデントの原因究明や被害拡大の防止に活用されます。例えば、ログデータから不正アクセスの痕跡を特定したり、メモリデータからマルウェアの痕跡を特定したり、プロセスデータから不正な動作を検知したりすることができます。

ファスト・フォレンジックで出来ること

ファスト・フォレンジックで出来ることは主に次のとおりです。

数十～数千台規模の端末を一括調査可能・侵害端末の早期検出

通常のデジタル・フォレンジックでは、端末1台1台を調査・解析する必要があるため、膨大な期間と費用が掛かります。

一方で、ファスト・フォレンジックでは、数十～数千台もの端末から必要最低限のデータを収集・解析することで、短時間でインシデントの状況を把握することが可能です。

また、データをクラウド上に収集して遠隔から調査が可能であるため、被害対応の即効性にも優れています。

そのため、従来のフォレンジックのように、すべてのデータを収集・解析する必要がなく、数十～数千台規模の端末を一括調査することも可能です。

不正アクセスの迅速な確認

ファスト・フォレンジックでは、ログデータやメモリデータなどのデータを活用して、不正アクセスの痕跡を迅速に確認することができます。これにより、不正アクセスの発生時刻や侵入経路、攻撃者の手口などを特定することができます。

被害範囲の特定・被害の封じ込め

インシデントが発生した場合、まずは被害範囲を特定し、被害の拡大を封じ込めることが重要です。ファスト・フォレンジックでは、必要最低限のデータを収集・解析することで、短時間で被害範囲を特定することができます。

ファスト・フォレンジックを実施するケースとは

ファスト・フォレンジックは、インシデント発生後の迅速な対応を可能にする重要な手法であり、主に以下のようなケースで実施されます。

マルウェア感染状況の調査

マルウェア感染の症状が見られる場合、周囲の端末も「発症」していないだけで、ネットワークでつながっている以上は、マルウェアが潜伏している恐れがあります。

その点、ファスト・フォレンジックでは、ネットワーク上で接続されていた全ての端末を一括調査することができ、被害範囲の特定に繋げられます。

例えば調査によって、下記のようなデータが取得可能です。

• 疑わしいファイル・プログラム、および危険度
• 端末間の不正通信（タイムラインにて表示）
• 端末間のアクセス履歴（概要図にて視覚的に確認可能）
• 端末にて実行された疑わしいイベント（例：外部端末からのログイン失敗数）

仮に、マルウェアが送受信したデータ、通信先などの痕跡がネットワークログに残っているとみられる場合、これらのデータを分析することで、マルウェアの活動内容や拡散経路などを特定し、被害を最小限に抑えることができます。

＼サイバーセキュリティ専門家へ24時間365日無料相談／

サイバー攻撃の侵入経路調査

サイバー攻撃を受けた場合、攻撃者がどのように侵入したかを調査し、繰り返しの侵入を防ぐ必要があります。

ファストフォレンジックでは、攻撃者が侵入した可能性のある端末やファイルを特定できるほか、ネットワークパケットを解析することで、攻撃者が送受信したデータや通信先を特定することができます。

社外端末への不正通信の確認

社内ネットワークのサーバから社外端末への不正なデータ転送があった場合、サーバのログに、データ転送の痕跡が残っている可能性があります。

ファスト・フォレンジックでは、ネットワークログを分析することで、漏えいの痕跡を特定することができます。

不正プログラムの有無および危険度の把握

ネットワークログには、端末やネットワーク機器の通信に関する情報が記録されています。ファスト・フォレンジックでは、ネットワークログを分析することで、問題端末のホスト名やIPアドレス、不正プログラムの痕跡を特定し、その危険度も把握することができます。

サービス提供フロー

ファスト・フォレンジックのサービス提供フローは次のとおりです。

1. 被害状況・端末数のヒアリング

まず、お電話もしくはWeb打合せにて被害状況とPC・サーバ等のエンドポイント端末数をヒアリングさせていただきます。

2. DDSより提供したexeファイルをスキャン端末にて実行

まず当社から配布されたexeファイルを対象端末で実行します¹。この際、特別な操作は必要なく、そこまで手間はかかりません。また、ログの取得中も事務作業など通常どおり行えるため、業務に支障が出ることはありません。解析終了後は、なるべく専門用語を使わずレポーティングします。

3. 疑わしい端末を解析・調査

感染が疑わしい端末は、DDS社内にてネットワークより隔離された環境でデータの収集を実施します（必要な場合は保守作業を実施可能です）。

調査が必要なときは、ファスト・フォレンジックの専門業者へ依頼する

企業の情報漏えいインシデント対応が義務化されています

「ランサムウェア・マルウェアに感染した」、「内部の人間による情報漏えいが疑われる」 このような場合、被害範囲や不正行為の経路を調べることが大切です。

特に2022年4月施行の「改正個人情報保護法」では、財産的被害が生じるおそれのある個人データの漏えい等が発覚した場合、法人に以下の義務が課せられました。つまり、被害調査を行うことは再発防止のためだけでなく、個人情報取扱事業者の義務でもあります。

1. 個人情報保護委員会への報告：当該企業は、個人情報保護委員会に漏えいの報告を行う。
2. 当該個人に対する通知：当該企業は、個人情報漏えいの被害を受けた個人に通知を行う。

仮に、悪質な管理体制で個人情報の不正流用が発生した、もしくは措置命令違反があった場合、最高で1億円の罰金が科せられる恐れもあります。したがって情報漏えい時、どの情報が、どのように漏えいしたのかを調査し、今後の対応や予防策を考える必要があります。

改正個人情報保護法に準拠した対応および被害事例はこちら

ただし、被害の調査を行う場合、専門技術が必要です。これは自社のみで対応するのが困難であるため、フォレンジック専門家と提携して調査することをおすすめします。

＼相談から最短30分でWeb打ち合わせを開催／

ファスト・フォレンジックの活用事例

事例1：Emotet（トロイの木馬）駆けつけ対応

依頼者：インフラ系企業

背景：数十名の社員の中で、2名がEmotet感染。なりすましメールが大手に一斉送信され、取引先からクレームが入ったことで被害が発覚。セキュリティ対策は何も行っていないかった。いつ誰が感染したか全く記憶になく、PC端末のフルスキャン実行で合意。

調査：20台以上のPCのファストフォレンジック

その他：取引先へのアナウンス、感染端末の買い替え、恒久対策としてセキュリティ対策製品「DDHBOX」をあわせて導入

Emotetが実行されると、周囲に感染し、取引先にも感染メールが送信されてしまいます。

また、数日～1か月の期間を空けてから送信されるケースもあるため、取引先への二次感染を防ぐ目的で、複数のパソコンを一括でファスト・フォレンジックするのが推奨されます。

セキュリティ対策製品「DDHBOX」についてはこちら

事例2：ランサムウェア

依頼者：インフラ系企業

背景：ランサムウェアに感染後、ファイルが暗号化され、身代金を要求された。また、感染の影響でメールサーバーも停止している。マルウェア感染調査を希望。

調査：サーバーを含む社用PC等、300台以上のファストフォレンジック

調査結果：社用PCへの不正ログイン履歴、マルウェアの感染の履歴を検出。

ランサムウェアが実行されると、感染端末、およびネットワーク上でつながっている端末が暗号化され、復号と引き換えに身代金が要求されます。

数日以内に対応しないと、次のような被害に遭う可能性が高いです。

• 暗号化されたデータが、ダークウェブなどに漏えいする
• 別の凶悪なマルウェアの感染被害に遭う
• 今後もネットワークに不正侵入できるよう「勝手口」を作られてしまう

二次被害を防ぐためにも、ファスト・フォレンジックでランサムウェア被害に遭った端末をすべて調査することで「脆弱性の早期発見」といった適切な対応を取ることも可能です。

事例3：ランサムウェア

依頼者：医療機関

背景：患者の電子カルテが暗号化され、実質的な機能不全に陥った。データリカバリー、感染原因、情報漏えいの有無を希望。

調査：150台以上のPCのファストフォレンジック

調査結果
・感染原因はネットワーク機器の脆弱性と考えられる。
・この脆弱性は、ユーザー名やパスワード等に関する情報を盗んだ後、その情報をもとに組織ネットワーク内に不正侵入する目的で使われる。
・調査では複数台の端末が遠隔操作されており、30台以上の端末がランサムウェアによりファイルが暗号化されていた。従ってファイルが外部に漏えいしている可能性が高い。

その後、行ったこと
・データリカバリー
・調査推奨端末のディープフォレンジック
・出口対策セキュリティ製品「DDHBOX」導入
・内部対策セキュリティ製品「SentinelOne」導入

セキュリティ対策製品「SentinelOne」については下記で詳しく紹介しています。

事例4：ランサムウェア

依頼者：卸売業者

背景
・サーバ約10台がランサムウェアに感染し、身代金を要求をされた。
・サーバには本社の情報が入っており、業務が完全に止まっている。
・バックアップはあるが、かなり古いデータのため使えない。
・思い当たる感染経路はない。

調査：複数台のPCのファストフォレンジック

調査結果：ファストフォレンジックで、不正プログラムを検知。その後、ディープフォレンジックで端末を隔離。

その後、行ったこと
データリカバリー、および恒久対策として主要拠点に「DDHBOX」を導入。

フォレンジックを行う前にやってはいけないこと

フォレンジック調査を円滑に進めるにあたって、以下の行為は絶対に行わないようにしてください。証拠の確保が困難になってしまう恐れがあります。

調査対象機器の継続使用

「電源の入り切りを繰り返す」「機器を継続して使用し続ける」など、対象機器に何らかの操作を加えると、データ領域の情報が変化し、フォレンジック調査が困難となります。

たとえば、RAM（揮発性メモリ）には、マルウェアの痕跡や暗号を複号する鍵が記録されていることがありますが、機器の電源を切るとRAMのデータは消えてしまいます。

調査の観点からは、ネットワークから切り離し、電源を切らないようにしましょう。また、データを法的な証拠として利用する場合、証拠としての価値が失われる可能性もあります。

市販のソフトやツールなどを試す行為

端末の中で無料のソフトやツールを試してしまうと、大量の領域が書き換わるため、フォレンジック調査やデータの復旧を行う際に難易度が上がり、時間もコストも無駄になってしまいます。個人での操作やデータ復旧は控えてください。

フォレンジック調査はデジタルデータフォレンジックにお任せください

フォレンジック調査のご相談の流れ