8章
2 フルフォレンジックにおける証拠保全
ファストフォレンジックにおける証拠保全では、内蔵ディスク（ハードディスク、SSD）から論理コピーにより、必要なアーティファクトを選択して保全しました。一方、より詳細な調査のためにフルフォレンジックが必要と判断した場合は、物理コピーによる証拠保全を行います。
フルフォレンジックでは、解析対象となる保全データの網羅性と完全性が重要になりますので、適正な手続き／手順で物理コピーを実施しましょう。
物理コピーによる証拠保全作業は、原則的に対象コンピュータの電源をオフにした状態から作業を開始しますので、複製作業中に原本の記録データを誤消去したり改変してしまう可能性がほぼありません。また、ディスクに記録された磁気（電気）信号をすべてそのまま複製しますので、正しい手順で実施すれば網羅性も完全性も担保されます。
しかし、原本ディスクと複製先ディスクを逆に接続してしまうなどの重大なミスがあると、原本ディスクに修復不可能な甚大な損傷を与えかねません。また、取り外し作業などで、ディスクドライブに直接手で触れる場合は、静電気による機器破損にも注意が必要です。作業時には、静電気防止手袋の着用を推奨します。基本に忠実に、一つ一つの手順をしっかり確認しながら慎重に作業を実施しましょう。
物理コピーによる保全方法
物理コピーの方法には、物理ディスクの複製と物理イメージの取得という2種類の方法があります。以下、それぞれの方法や留意点について紹介します。
デュプリケータによるディスクの複製
物理的にディスクを複製する場合は、デュプリケータ（ディスク複製装置）を使用する方法が一般的です。これは、調査対象コンピュータから取り出した内蔵ディスクと複製先ディスクをデュプリケータへ接続して、ハードウェアでディスクを複製する方法です。
この方法では、調査対象コンピュータの起動が不要ですので、記録データに影響を与える可能性が低くなります。また物理的にディスク同士を直接接続して複製するため、操作がシンプルでミスが発生しにくいという利点もあります。
また、デュプリケータには物理イメージ取得機能が搭載されたものも多く、ノートPCなどのハードディスクの取り出しが困難な場合にも対応可能です。
手順は、以下の通りです。
- 電源をオフにした調査対象コンピュータを、USBインターフェースもしくはネットワークインターフェースで、デュプリケータの入力側に直接接続
- 接続した調査対象コンピュータを、専用の起動用OSをインストールしたUSBメモリ等で起動
- 物理イメージファイルを保存する保全用ディスクを、デュプリケータの出力側へ接続
- デュプリケータの機能により、内蔵ディスクの物理信号を物理イメージファイルに変換し、保全用ディスクへ保存
このような機能を持つ代表的なデュプリケータ製品には、以下のものがあります。
Forensic Falcon - NEO
Image MASSter Solo-4
証拠保全用OSの外部メディアブートによる物理イメージ取得
デュプリケータを所有していない場合や、デュプリケータの専用起動OSにより起動できない調査対象コンピュータの場合、LinuxやWindowsをベースとした証拠保全用OS（ライブOS）の外部メディアブートにより物理イメージファイルを作成する方法があります。
手順の一例は、以下のようになります。
- 電源をオフにした調査対象コンピュータへ、証拠保全用OS（Linux / Windowsベースのフォレンジック用OS）をインストールした、USBメモリ等の外部メディアを接続
- 外部メディアの証拠保全用OSで調査対象コンピュータを起動
- 保全用ディスクを調査対象コンピュータへ接続し、ドライブとしてマウント
- 証拠保全用OSにインストールした保全用ソフトウェアで、内蔵ディスクの物理信号を物理イメージファイルに変換し、保全用ディスクへ保存
Linuxベースの主な証拠保全（フォレンジック）用OSには、以下のものがあります。
- PALADIN
- OSFClone
- CAINE
近年、セキュアブート（起動OSを制限する機能）により、上記のようなLinuxベースのライブOSが起動できないWindows PCも増えています。その場合はBIOSメニュー等からセキュアブートを無効化する必要があります。
組織のセキュリティポリシーなどによりセキュアブートが無効化できないような場合、外部メディアから起動できるWindows OSを利用する方法があります。その場合は、Windows OSをインストールしたUSBメモリ等に、Windows対応の保全用ソフトウェア（EnCase Forensic Imager , FTK Imager等）を導入しておきます。保全作業の流れは、Linuxベースのものと同様です。
外部メディアから起動できる主なWindows OSには、以下のものがあります。なお、現在はいずれもMicrosoft社の公式サポート対象外となっています。
- Windows FE
- USBメモリから起動可能
- システムの展開や回復用にMicrosoft社から提供されるWindows PEを、フォレンジック用途にカスタマイズしたもの
- Windows To Go
- USB外付けのハードディスクもしくはSSDから起動可能
- USBメモリは、一部の認証を受けた特殊製品（現在は製造終了）を除き使用不可
これらの保全用OSは無償のものが多く、高価なデュプリケータに比べるとコスト面でのメリットは大きくなります。一方、アップデートやサポートの保証はありませんので、導入する際はそれぞれのメリットやリスクを考慮して選択して下さい。
ライブフォレンジックによる物理イメージ取得
デジタルフォレンジックにおける物理コピーでは、調査対象コンピュータの内蔵ディスクに影響を与えないよう、電源オフの状態から内蔵ディスクを取り出す、もしくは外部メディアにインストールしたOSで起動する方法が原則です。
しかし、内蔵ディスクの取り出しが困難で、かつ外部メディアからの起動もできない（メディア使用が制限されたPCなど）というケースも想定されます。その場合は、最終手段として、調査対象コンピュータを通常起動し、FTK Imager等の保全用ソフトウェアを使用して、内蔵ディスクから物理イメージファイルを作成する方法もあります（ライブフォレンジック）。
この方法では、調査対象コンピュータを起動した時点で、システムログやファイルのタイムスタンプなど多くのデータが変更されてしまいます。また、保全作業中もディスクの記録状態は刻々と変化しますので、保全データの完全性の検証は難しくなります。さらに、マルウェアが活動中の場合は、FTK Imager等のフォレンジック関係のソフトウェアを検知して、痕跡の隠ぺいを行うことも考えられます。あくまでも他に方法がない場合の最終手段と考えて下さい。
なお、この方法においても、原本データへの影響を最小限にするため、保全用ソフトウェアは外部メディアから起動して下さい。また、当然のことですが、作成した物理イメージファイルを内蔵ディスクに保存しないよう、保存先の指定には注意しましょう。
物理イメージの保全作業例
物理イメージ取得による証拠保全の例として、FTK Imagerを使用する作業手順を紹介します。なお前述のとおり、実務においては、原則として調査対象コンピュータを外部メディアから起動して実施します。
ここでは、すでに外部メディアからWindows OSを起動した状態、もしくは最終手段として調査対象コンピュータを起動した状態と想定して、説明を進めます。
FTK Imagerを起動し、「File」ー「Create Disk Image...」を選択します。
物理イメージ取得が目的ですので、保全対象として「Physical Drive」を選択し、「次へ」をクリックします。
（参考）
Physical Drive: SATAやUSBインターフェースなどで、物理的に接続されたドライブ
Logical Drive: マウントされている論理ドライブ（C: , D: 等）
Image File: イメージファイル
Contents of a Folder: 論理フォルダ
Fernico Device: CDやDVD
ドロップダウンから保全対象の物理ディスクを選択して、「Finish」をクリックします。
なお、Physical Driveを選択した際には、ドライブレター（C:、D: 等）が表示されません。複数の物理ディスクが表示される場合は、ディスクのID／メーカー／型番／容量等から、対象のディスクを判断して下さい。
作成する物理イメージファイルの出力先を指定するために、「Add」をクリックします。
出力する物理イメージの形式を指定し、「次へ」をクリックします。ここで選択する形式は、メタ情報付加や圧縮が可能で、多くのフォレンジックツールが対応している「E01」を推奨します。
保全する物理イメージの補足情報を入力（任意、空白も可）して、「次へ」をクリックします。
物理イメージファイルの保存先フォルダ（外部メディア）とファイル名、ファイルの分割方法などを指定して「Finish」をクリックします。
この手順は、誤って出力先を調査対象コンピュータの内蔵ディスクにしないよう、慎重に確認しながら進める必要があります。
（設定項目の説明）
Image Destination Folder
物理イメージの出力先となる外部メディアのフォルダを指定（「Browse」ボタンをクリックしてフォルダを選択）
Image Filename
拡張子を除く出力ファイル名を指定（拡張子は連番などで自動的に付与される）
Image Fragment Size
イメージファイルを分割して出力したい場合、分割するサイズをMB単位で指定（分割しない場合は 0 を指定）
Compression（0～9）
圧縮レベルを指定（デフォルトの 6 が標準で、圧縮レベルを高くするほどサイズは小さくなるが、読み書き処理の負荷は高くなる）
確認画面が表示されます。 デフォルトでは「Verify images after they are created」のチェックがオンになっています。 このチェックが入っている場合、物理イメージを作成した後に、原本のデータと比較（Verify処理）をして、物理信号の複製エラーがないかをチェックします。処理時間は約２倍になりますが、保全データの完全性を検証するためには必要な処理ですので、原則的にはチェックオンのままで「Start」をクリックします。
物理イメージの作成が開始されます。Progress（プログレスバー）で進捗を確認することができます。
「Status」が「Image created successfully」になれば、物理イメージファイルの作成は完了です。
作成時間は、ディスク装置やコンピュータの性能によって幅はありますが、Verify処理を含めると、目安として1000GB（1TB）あたり90～120分程度でしょう。
完了を確認して「Close」ボタンをクリックします。
「Verify images after they are created」を有効にしていた場合は、物理イメージと原本との比較結果や、それぞれのハッシュ値が表示されます。
「Close」ボタンをクリックして、保全作業を終了します。
作成した物理イメージファイルは、以下のとおり指定したフォルダに保存されています。
E01ファイルが物理イメージファイルです。同名のTXTファイル（テキストドキュメント）は、物理イメージ作成時のログです。
なお、物理イメージファイルのサイズは、raw形式など非圧縮の場合、原本ディスクのサイズ（空き容量含む）とほぼ同じ大きさになります。
また、E01 形式などで圧縮した場合でも大幅に小さくなるとは限りません。
保存先の外部メディアは、空き容量に余裕があるものを用意して下さい。