コンピューター・フォレンジックはデジタル・フォレンジック、コンピューター・フォレンジック・サイエンス、サイバー・フォレンジックとも呼ばれ、コンピューター・サイエンスと法的フォレンジックを組み合わせて、法廷で認められる方法でデジタル証拠を収集します。
法執行機関の捜査官が犯罪現場をくまなく捜査して手がかりを探すのと同じように、コンピューター・フォレンジック捜査官は、弁護士が犯罪捜査、民事訴訟、サイバー犯罪調査、その他の企業や国家安全保障問題で使用できる証拠を求めてデジタル・デバイスを捜索します。そして、法執行機関の捜査官と同様に、コンピューター・フォレンジック捜査官も、デジタル証拠を探すだけでなく、その忠実性と法廷での証拠能力を確保するためにデジタル証拠を収集、処理、処理する専門家である必要があります。
コンピューター・フォレンジックはサイバーセキュリティーと密接に関係しています。コンピューター・フォレンジックの調査結果は、サイバーセキュリティー・チームがサイバー脅威の検知と解決を迅速化し、将来のサイバー攻撃を防ぐのに役立ちます。サイバーセキュリティーの新たな分野であるデジタル・フォレンジックとインシデント対応（DFIR）は、コンピューター・フォレンジックとインシデント対応活動を統合し、サイバー脅威の修復を加速すると同時に、関連するデジタル証拠が漏洩しないようにします。
Thinkニュースレター
AI、サイバーセキュリティ、データ、自動化に関する厳選されたニュースをThinkニュースレターで購読しているセキュリティリーダーに加わりましょう。専門家によるチュートリアルと解説をメールで直接配信することで、手軽に学ぶことができます。IBMプライバシー・ステートメントをご覧ください。
サブスクリプションは英語で配信されます。すべてのニュースレターに登録解除リンクがあります。サブスクリプションの管理や解除はこちらから。詳しくはIBMプライバシー・ステートメントをご覧ください。
コンピューター・フォレンジックは、1980年代初頭にパーソナル・コンピューターが発明されて初めて注目を集めました。テクノロジーが日常生活に欠かせないものになると、犯罪者は隙をつき、電子機器を使って犯罪を犯し始めました。
ほどなくして、インターネットは一夜にしてほとんどすべての人をつなぎ、企業や組織のコンピューター・ネットワークへのEメールやリモートアクセスを可能にし、より複雑なマルウェアやサイバー攻撃への扉を開きました。この新たなサイバー犯罪の領域に対応するため、法執行機関は電子データを調査および分析するシステムを必要としていたため、コンピューター・フォレンジックが誕生しました。
当初、ほとんどのデジタル証拠は、パーソナル・コンピューター、サーバー、携帯電話、タブレット、電子ストレージ・デバイスなどのコンピューター・システムやITデバイス上で発見されました。しかし現在では、モノのインターネット（IoT）やオペレーショナル・テクノロジー（OT）の装置から、自動車や家電製品、ドアベルや犬の首輪に至るまで、ますます多くの産業用・商業用のデバイスや製品が、デジタル証拠のために収集・利用可能なデータやメタデータを生成・保管しています。
たとえば自動車事故を考えてみましょう。過去には、法執行機関の捜査官が犯罪現場を捜査して、進路変更の痕跡やガラスの破片などの物的証拠を求めていたでしょう。また、運転中にテキスト・メッセージを送信した証拠がないか、運転手の携帯電話をチェックしたかもしれません。
現在、新しい自動車は、あらゆる種類のタイムスタンプ付きのデジタル・データとメタデータを生成して保管し、各車両の位置、速度、動作状態を常に詳細に記録します。このデータによって、現代の自動車は強力なフォレンジック・ツールとなり、捜査官が事故に至るまで、あるいは事故中、事故後の出来事を再現できるようになりました。これは、従来の物理的な証拠や目撃情報がない場合でも、事故に責任を負う当事者を見つける上で役に立つ可能性もあります。
物理的な犯罪現場の証拠と同様に、デジタル証拠も収集して正しく処理する必要があります。そうしないと、データとメタデータが失われるか、法廷で認められないとみなされる可能性があります。
たとえば、捜査官と検察官は、デジタル証拠の適切な保管過程を証明する必要があり、デジタル証拠がどのように扱われ、処理され、保管されたかを文書化する必要があります。また、データを変更せずに収集して保管する方法を知る必要があります。これは、ファイルを開く、印刷する、保存するなどの一見無害な操作によってメタデータが永久に変更される可能性があることを考慮した上での課題です。
このため、ほとんどの組織では、犯罪捜査やサイバー犯罪捜査に関連するデジタル証拠を収集・処理するために、コンピューター・フォレンジック捜査官（コンピューター・フォレンジック・エキスパート、コンピューター・フォレンジック・アナリスト、フォレンジック・コンピューター検査官という職種名でも知られています）を雇用または契約しています。
コンピュータ・フォレンジックの専門家は、通常、コンピューター・サイエンスまたは刑事司法の学士号を取得しており、オペレーティングシステム、情報セキュリティー、ネットワーク・セキュリティー、プログラミング言語などの情報技術 (IT) の基礎に関する確かな機能的知識と、デジタル証拠やサイバー犯罪の法的意味に関する知識を兼ね備えています。モバイル・フォレンジックやオペレーティング・システム・フォレンジックなどの分野を専門とする場合もあります。
コンピューター・フォレンジック捜査官は、法的に許容されるデータを探し出して保存する専門家です。コンピューター・フォレンジック捜査官は、オフサイトのサーバーや自宅のコンピューターなど、社内のITスタッフが無視する可能性のあるソースからもデータを収集すべきことを知っています。また、組織が健全なコンピューター・フォレンジック・ポリシーを策定するのに役立ち、デジタル証拠を収集する際の時間と費用を節約し、サイバー犯罪の余波を軽減し、将来の攻撃からネットワークと情報システムを保護するのに役立ちます。
コンピューター・フォレンジックには4つの主な手順があります。
最初のステップは、調査に関連するデータ、メタデータ、またはその他のデジタル・アーティファクトが含まれている可能性があるデバイスまたはストレージ・メディアを特定することです。これらのデバイスは収集され、フォレンジック研究所またはその他の安全な施設に置かれ、プロトコルに従い、適切なデータ復旧が保証されます。
フォレンジック・エキスパートは、保存するデータのイメージ、つまりビット単位のコピーを作成します。次に、イメージとオリジナルの両方を安全に保管し、変更や破壊から保護します。
エキスパートは2種類のデータを収集します。デバイスのローカル・ハードディスク・ドライブに保存される永続データと、メモリーまたは転送中（レジストリー、キャッシュ、ランダム・アクセス・メモリ（RAM）など）にある揮発性データです。揮発性データは一時的なものであり、デバイスがシャットダウンしたり停電が発生したりすると失われる可能性があるため、特に慎重に扱う必要があります。
次に、フォレンジック捜査官が画像を分析して、関連するデジタル証拠を特定します。これには、意図的にまたは意図せずに削除されたファイル、インターネット閲覧履歴、Eメールなどが含まれます。
他の人が見逃してしまうような「隠れた」データやメタデータを発見するために、捜査官は、揮発性データについてまだ稼働しているシステムを評価するライブ分析、一見普通のメッセージの中に機密情報を隠す技術であるステガノグラフィーを使って隠されたデータを暴き出すリバース・ステガノグラフィーなどの専門技術を利用します。
最終ステップとして、フォレンジック・エキスパートは分析の概要をまとめた正式なレポートを作成し、調査結果と結論や推奨事項を共有します。レポートは事件によって異なりますが、法廷でデジタル証拠を提示するためによく使用されます。
組織や法執行機関の捜査官がデジタル・フォレンジック調査を開始する可能性のある領域がいくつかあります。
繰り返しになりますが、コンピューター・フォレンジックとサイバーセキュリティーは密接に関連する分野であり、サイバー攻撃からデジタル・ネットワークを保護するために協力することがよくあります。サイバーセキュリティーは事前対応と事後対応の両方があり、サイバー攻撃の予防と検知、サイバー攻撃への対応と修復に重点を置いています。
コンピューター・フォレンジックはほぼ完全に事後対応であり、サイバー攻撃や犯罪が発生した場合に即座に行動を開始します。しかし、コンピューター・フォレンジック調査は、サイバーセキュリティー・チームが将来のサイバー攻撃を防ぐために使用できる貴重な情報を提供することがよくあります。
コンピューター・フォレンジックとインシデント対応（進行中のサイバー攻撃の検知と軽減）が独立して実施されると、互いに干渉し合い、組織にとってマイナスの結果をもたらす可能性があります。
インシデント対応チームは、ネットワークから脅威を除去しながら、デジタル証拠を変更または破壊できます。フォレンジック捜査官は、証拠を探し出して確保している間に、脅威の解決が遅れる可能性があります。
デジタル・フォレンジックとインシデント対応（DFIR）は、コンピューター・フォレンジックとインシデント対応を統合したワークフローで、セキュリティー・チームがサイバー脅威を迅速に阻止するのを助けると同時に、脅威軽減の緊急性によって失われる可能性のあるデジタル証拠を保全することができます。DFIRでは、
フォレンジック・データの収集が、脅威の軽減と並行して行われます。インシデント対応担当者は、脅威を封じ込め、根絶する間、コンピューター・フォレンジック技術を使用してデータを収集・保存し、適切な管理の連鎖が守られ、貴重な証拠が変更されたり破壊されたりしないようにします。
インシデント後レビューには、デジタル証拠の調査が含まれます。DFIRチームは、法的手段に備えて証拠を保存するだけでなく、これを使用してサイバーセキュリティー・インシデントを最初から最後まで再構築し、何がどのように起こったのか、被害の程度、同様の攻撃をどのように回避できるのかを学びます。
DFIRは、より迅速な脅威の軽減、脅威からのより強固な回復、および刑事事件、サイバー犯罪、保険金請求などの調査のための証拠の強化につながります。