「フォレンジック」とは、もともと「法廷の」「法医学の」「法的に有効な」という意味を持ち、犯罪捜査における鑑識や分析のことを指す。IT業界では「デジタル・フォレンジック」とも呼ばれ、コンピューターをはじめとする記録媒体に含まれた“法的証拠に関わる”デジタル的な法科学の一分野のことを指す。

サイバー攻撃を受けたときや情報漏えいが発生したときに、その原因を追究するために行い、被害の拡大や同じ方法による被害の再発を防ぐことを目的とする。

デジタル・フォレンジックは、NIST（米国国立標準技術研究所）の「Guide to Integrating Forensic Techniques into Incident Response」に基づくと、Collection（証拠保全）、Examination（データ解析）、Analysis（分析）、Reporting（報告）の順で行う。

システム障害などが起きたとき、一般的にはログなどの可読なデータに限定して原因調査を行うのに対して、フォレンジックでは、証拠保全の対象がハードディスクやUSBメモリーなどの「メディア」になることが特徴だ。

証拠保全

調査対象となるメディアを収集し、紛失や取り違いがないように細心の注意を払って証拠保全を行う。データ解析用にメディアを完全にコピーする。

データ解析

メディアから可読情報を取り出す。専用ツールを使って、タイムスタンプやプロセス実行時刻の洗い出し、削除されたファイルの復元などを行う。ここまでは調査のための準備となる。

分析

可視化されたデータから、調査目的に沿った情報を探し出す。マルウェア感染であれば、検体を抽出し、感染時刻やその時点での挙動などを探る。

報告

分析結果を整理し、レポートにまとめる。各段階で数時間～数日かかり、調査期間の目安は早くても1～2週間、難しい事案では1カ月かかることもある。近年は企業内で使用するIT機器が増え、海外拠点などをネットワークで接続しているケースも少なくない。そのため、調査期間は長くなる傾向にある。

一日も早く営業を再開したい場合などは、フォレンジックの期間を短縮する方法が有効である。それが「ファスト・フォレンジック」だ。

デジタル・フォレンジックは対象の100％を調査するが、ファスト・フォレンジックは必要最低限のデータ抽出とコピーを行うことで早急に原因を究明し、侵入経路や不正な挙動を把握する。

詳細な原因究明や法的証拠の確保のためにはデジタル・フォレンジックを行う必要があるが、初動対応として迅速な状況把握、被害拡大の防止を実行するためにはファスト・フォレンジックに大きなメリットがある。

調査はログやレジストリ、メモリーなど最小限の範囲で行うため、所要時間は数時間～数日程度で済む。通常のフォレンジックより、コストも抑えられる。

ファスト・フォレンジックの手法は、大きく3つに分けられる。

最小限のデータで解析

例えばWindowsの場合は、レジストリやイベントログ、メモリー、AppDataなどに残る不審なファイルなど対象とする。
この方法で、デジタル・フォレンジックの証拠保全、データ解析、分析のフェーズで工数削減が期待できる。また、典型的な事案だと、これらのデータだけでも感染原因や日時、検体まで特定できる場合もある。

デメリットは、取得したデータでは情報が足りない場合に通常のフォレンジックを実施しなくてはならず、手戻りが発生する可能性があることだ。

リモート・フォレンジック

平時から調査対象の端末にエージェントを導入しておき、インシデントが起きたときなどに、管理コンソールから直接操作して分析する。リモートで証拠保全を行えるため、物理的に現場に行くよりも早くから実施できるというメリットがある。特に、海外など遠方に対象端末があるときは有効だ。

しかし、この手法では感染が疑われる端末もネットワークにつないでおかないといけない。マルウェアなどに感染した端末はネットワークから隔離して被害拡大を防ぐ必要があるが、そうした対策がとれなくなるという大きなデメリットがある。

EDRの利用

EDR（Endpoint Detection and Response）製品には、端末の不審な挙動の検知や、ネットワーク隔離機能、さらに調査機能が実装されているものが多い。この調査機能をファスト・フォレンジックとして活用できる。

EDRのデータは自動的に取得できるだけでなく継続的に記録されているため、過去に遡って分析もできる。

EDRを用いれば、通常フォレンジックを行う専門家の調査が始まる前に社内である程度の調査ができるのもメリットだ。

大きな事案であれば、専門家に依頼してフルにデジタル・フォレンジックを行う必要が出てくるが、軽微な被害であれば、まずはEDRで確認し、次にデータ範囲を絞ったファスト・フォレンジックを実施するという方法も考えられる。

インシデントが起きたときの対処は初動が大事になる。事前に被害パターンを想定し、それぞれにどう対応するのかを決めておこう。