8章

1 ファストフォレンジックにおける証拠保全

ファストフォレンジックの意義と留意点

ファストフォレンジックは、デジタル・フォレンジック研究会の「証拠保全ガイドライン」では「早急な原因究明、侵入経路や不正な挙動を把握するため、必要最低限のデータを抽出及びコピーし、解析すること」と定義されています。

ファストフォレンジックを実施する場合には、必要なデータのみに保全対象を限定し、論理コピーにより、外部記録媒体やネットワークドライブへ複写を行います。調査対象コンピュータへの影響を最小限にするため、保全したデータを調査対象コンピュータの内蔵ディスクに保存することは控えましょう。また、保全ツールを、調査対象コンピュータへインストールしたり、内蔵ディスクに保存したりすることも同様に控えましょう。

CDIR Collector（CDIR-C）による保全方法

CDIR Collector（CDIR-C）は、初動対応時のデータ保全支援ツールとして、株式会社サイバーディフェンス研究所のサイトおよびGitHubで公開されています。同ツールはWindows OS上で動作します。ライブレスポンスにおいて、同ツールを調査対象コンピュータで実行し、ファストフォレンジックに必要なアーティファクトのデータを保全します。

CDIR-Cは、事前の設定や準備は特に必要ありません。簡単な操作により、インシデントレスポンスの解析対象となる各種アーティファクトのデータを、一括で収集できます。また、調査対象コンピュータの原本データへの影響を最小限に抑え、安全にデータを収集できるよう設計されています。

収集対象のアーティファクトは以下の通りです。

• メモリダンプ（メモリ保全ツール「WinPmem」により収集）
• ディスク上のアーティファクト
  • NTFS内部データ
    • $MFT
    • $SECURE:$SDS
    • $UsnJrnl:$J
      
  • イベントログ
  • プリフェッチ
  • レジストリ
    • Amcache.hve
    • SAM, SECURITY, SOFTWARE, SYSTEM
    • NTUser.dat, UsrClass.dat
      
  • WMI
  • SRUM
  • ブラウザ閲覧履歴
    • History (Chrome)
    • cookies.sqlite, places.sqlite (Firefox)
    • WebCacheV01.dat (IE, Edge)
    • History (Edge)

また、調査対象コンピュータに、システムデータのバックアップフォルダ（C:\Windows.old\）が存在する場合は、同フォルダ内の上記アーティファクトも収集します。なお、「Windows.old」フォルダは、Windows7からWindows10 へアップグレードされた際などに、旧システムにおける「Windows」フォルダのバックアップとして作成されます。

使用手順

CDIR-Cは、調査対象コンピュータへの影響を最小限にするため、同ツールを保存したUSBメモリなどの外部記録媒体やネットワークドライブから実行します。収集したデータは、自動的にCDIR-Cのフォルダ内が保存先となりますので、調査対象コンピュータの内蔵ディスクに保存されるおそれはありません。なお、実行時には必ず管理者権限で実行して下さい。一般ユーザー権限で実行してしまうと、レジストリなど一部のアーティファクトが収集できません。

実行手順は次のとおりです。

CDIR-Cを保存した外部記録媒体を、調査対象コンピュータに接続します。ネットワークドライブを使用する場合は、CDIR-Cを保存したフォルダを共有します。

CDIR-Cのフォルダ内にある「cdir-collector.exe」をダブルクリックして実行します。

なお、一般ユーザーでログインしている場合は、右クリックして「管理者として実行」を選択して下さい。その場合は、管理者アカウントのパスワード入力が必要になりますので、事前に確認しておきましょう。

また、 収集するアーティファクトを絞り込む場合は、CDIRの構成設定ファイル（cdir.ini）をテキストエディタで編集します。次の編集例は、以下のアーティファクトのみを収集対象とするよう変更した例です。

• イベントログ（EventLog）

• プリフェッチ（Prefetch）

• レジストリ（Registry）

＜cdir.iniの編集例＞

;MemoryDump = False
MFT = False
Secure = False
UsnJrnl = False
EventLog = True
Prefetch = True
Registry = True
WMI = False
SRUM = False
Web = False
;Target = G:\
;MemoryDumpCmdline = winpmem-2.1.post4.exe --output RAM.aff4
;MemoryDumpCmdline = DumpIt.exe /Q /N /T DMP /O RAM.dmp
;MemoryDumpCmdline = RamCapture64.exe RAM.raw
;MemoryDumpCmdline = MagnetRAMCapture.exe /accepteula /go .\RAM.raw
;Output = E:\
;Output = \\hostname\sharename\

cdir.ini の MemoryDump ～ Web までの行に記載されたアーティファクトについては、

• 収集するもの：True
• 収集しないもの：False

を指定します。また、先頭に「;」を付けてコメントアウトしたアーティファクトは、実行時に収集する／しないをインタラクティブに指定できます。

デフォルトでは、先頭行にあるメモリダンプ（MemoryDump）が上記のようにコメントアウトされていますので、実行時に取得有無を問われます。それ以外のアーティファクトは、すべて「True」になっており、自動的に収集対象となります。

また、「;Target = G:\」とコメントアウトされている箇所は、収集対象ドライブの指定です。デフォルトでは上記のようにコメントアウトされており、「C:\（Cドライブ）」が収集対象となります。この行以降、コメントアウトされている箇所はすべてデフォルトの設定により実行されます。通常はデフォルトのままの実行で問題ないでしょう。特に必要があるときのみ「;」を削除して、指定内容を修正して下さい。指定する内容は次のとおりです。

• Target：収集対象ドライブ（デフォルト：Cドライブ）
• MemoryDumpCmdline：メモリ保全に使用するツールやコマンドオプション（デフォルト：WinPmemによるRaw形式での保全）
• Output：出力先ドライブ／フォルダ（デフォルト：実行するcdir-collector.exeと同じフォルダ）

「cdir-collector.exe」を実行後は、次の手順で保全を進めます（デフォルトでの実行時）。

• コマンドプロンプト上で、メモリダンプの取得有無を問われます。取得する場合は1、取得しない場合は2を指定して [Enter] を入力します（画面例では2を指定）。

  
  

  

• 解析用データの収集が開始されますので、しばらく待ちます。

  
  

  

• 「解析用データ取得完了」と表示されると、収集完了です。[Enter] を入力しウィンドウを閉じます。

  
  

  

• 収集したデータは、CDIR-Cのフォルダ内に新規作成された、「コンピュータ名_収集日時（YYYYMMDDhhmmss）」という名称のフォルダに保存されます。

  
  

  

保全データの内容

CDIR-Cにより作成されたフォルダ内の保全データは、以下のようにアーティファクトごとのサブフォルダに記録されています。

なお、メモリダンプを取得した場合は、上記フォルダ内にRaw形式（ファイル名：RAM_(コンピュータ名).raw）で保存されます。

各フォルダ名と、フォルダに格納されているデータの種別、データから得られる情報の例は以下のとおりです。

※ 補足1～3

1. 「SRUM（System Resource Usage Monitor）」フォルダには、プログラムやサービスの稼働状況に関するデータが収集されています。プログラムごとの通信量の統計データが含まれるため、マルウェアによる情報漏えいが疑われる場合、異常な量の通信をしているプログラムの調査に有効です。

2. 「Web」フォルダには、ブラウザを使用したWebアクセスに関するデータが収集されています。ドライブバイダウンロード攻撃により不審なファイルがダウンロードされた履歴や、攻撃者の遠隔操作による不審なURLへのアクセス履歴など、マルウェア感染の原因調査や被害状況分析に有効です。

3. WMI (Windows Management Instrumentation) は、Windows OSのシステム管理ツールとして提供される標準機能です。マルウェアや攻撃者がWMIを悪用して永続化の設定を行った場合、「WMI」フォルダ内のファイル「OBJECTS.DATA」に、永続化されたマルウェアや悪性スクリプトの情報が含まれる可能性があります。