8章 証拠保全Ⅱ

はじめに　

この章では、ディスクを対象とした証拠保全において、ファストフォレンジックとフルフォレンジックそれぞれに適した保全方法について紹介します。

ディスクの保全方法としては、大きく分けて、

• 論理コピーによるファイルレベルの複製

• 物理コピーによるディスクの複製

の2種類の方法があります。

基本的に、迅速性を重視するファストフォレンジックでは論理コピー、完全性と網羅性を重視するフルフォレンジックでは物理コピーという選択となるでしょう。

この章では、それぞれの保全方法や、実際に保全されるデータの内容を具体的に紹介していきます。

「1 ファストフォレンジックにおける証拠保全」では、ファストフォレンジックを前提とした、論理コピーによるディスク上のアーティファクトの収集方法や留意点を紹介します。また、その中のハンズオンでは、株式会社サイバーディフェンス研究所が公開する「CDIR Collector（CDIR-C）」を使ったアーティファクトの収集を実施します。

「2 フルフォレンジックにおける証拠保全」では、フルフォレンジックを前提とした、物理コピーによるディスク複製（物理イメージファイル作成）方法や留意点を紹介します。また、その中のハンズオンでは、Exterro社（旧：AccessData社）の「FTK Imager」により、実際に物理イメージファイルの内容を確認します。