16章 ファイルシステムの調査

はじめに

この章と次章では、ファイルシステムの概要とその調査手法について紹介します。ファイルシステムは、ディスクに記録するファイルを管理するために、ファイル名、保存領域の位置、サイズ（容量）、アクセス権、タイムスタンプなど、さまざまな属性情報を記録しています。そのため、デジタルフォレンジックにおいても重要な記録が多数含まれています。

ファイルシステムのアーティファクトを解析して有用な情報を取得するためには、まずそのメカニズムを知る必要があります。ファイルシステムは、OSの種類によって実装が異なり、それぞれに名称がつけられています。また、OSのバージョンや接続する記録媒体の種類によっても、さまざまなファイルシステムが採用されています。

本コンテンツ作成現在において、各OSで採用されている主なファイルシステムの名称には、次のようなものがあります。

  • Windows
    • NTFS
      • Microsoft Windowsの代表的なファイルシステムです。ハードディスクやSSDなど、大容量のドライブやシステムドライブ（一般的なWindows PCではCドライブ）を中心に採用されています。Macの標準機能では書き込みができないなど、他のOSとの完全な互換性はありません。
    • ReFS
      • ReFS（Resilient File System）は、Microsoft社がNTFSに代わる次世代のファイルシステムとして開発した最新のファイルシステムです。Microsoft公式情報では「NTFSの可用性・効率性・回復性をさらに強化し、将来の技術革新の基盤となることを目的としている」と説明されています。主にWindowsサーバーにおいて、高可用性やデータ整合性が求められる大規模環境の一部で利用されています。現状、他のOSとの互換性はありません。
    • FAT32
      • 最大ファイルサイズは 4GBまでという制限があり、USBメモリ等、比較的小容量のリムーバルメディアなどで採用されています。LinuxやMacなど他のOSとの互換性があります。
    • exFAT
      • FAT32の最大ファイルサイズを実質制限なし（最大16EiB）に拡張し、かつLinuxやMacとの互換性も保持した、リムーバルメディア向けのファイルシステムです。

  • Linux

    • ext4

      • Ubuntu等で採用されているファイルシステムです。WindowsやMacの標準機能では互換性がありません。

    • XFS

      • RHELやCentOS等で採用されているファイルシステムです。WindowsやMacの標準機能では互換性がありません。

  • Mac

    • APFS
      • MacOS High Sierra（10.13）以降で導入された、Apple社の最新ファイルシステムです。それまで採用されていたHFS+ファイルシステムの根本的な問題を修正し、暗号化や効率性向上が実現されています。Apple社以外が開発したOSとは、標準機能では互換性がありません。

この章では、需要の観点からWindows PCのデジタルフォレンジックで最も必要性が高い、NTFSのメカニズムについて紹介します。また、NTFSのベースとなるアーティファクトとして、MFT（Master File Table）の調査手法を学習します。MFTは、 NTFS 全体の管理に関する情報や、NTFS 内の全ファイル/全フォルダのエントリおよび属性情報を保有する、カタログもしくは目次のような役割のデータです。


readme_01

デジタルフォレンジックにおいては、NTFSのデータ管理方法やMFTの構造を理解することで、標準機能では表示されない特殊なファイルの調査や削除されたファイルの復元処理を効率的に行うことができます。さらに、インシデントレスポンスにおいては、MFTとUSNジャーナル（ファイルの作成、変更、リネーム、削除等のトランザクション・ジャーナル）を併せて調査することにより、ファイルに関するイベントのタイムラインを明らかにすることが重要です。多くのマルウェアは、自分自身の実行ファイル・設定ファイル等を、目につきにくいフォルダへ格納したり、正規ファイルを装った名称にリネームするなど、さまざまな隠ぺい工作を図るからです。

また、証拠隠滅されて復元が不可能な削除ファイルでも、いつどのフォルダにどのようなファイル名で作成され、いつ削除されたかを明らかにすることで、マルウェアの挙動や攻撃者の行動を推定できる可能性もあります。

なお、タイムライン調査に重要となるUSNジャーナルについては、次章で詳しく紹介します。この章では、まずNTFSのデータ管理方法やMFTの構造を学習します。MFTから削除ファイルの内容を復元するハンズオンや演習にもチャレンジしていただきます。

results matching ""

    No results matching ""