19章 ファストフォレンジック総合演習
はじめに
この章では、ファストフォレンジックの調査手法にフォーカスして、総合的な演習を行います。
インシデント調査を想定し、実践的なファストフォレンジックを実施しましょう。
想定するインシデント
この演習では、次の状況を想定することとします。
- 組織内のファイルサーバに保管していた機密情報の外部流出が発覚
- 調査対象のPCは、利用者不在の深夜にファイルサーバへのアクセスが認められたため、CDIRによる証拠保全とアーティファクトのパース作業まで実施済み（当該データセットがこの演習の調査対象です）
- 組織内のすべてのPCは、直接インターネットに接続できないようファイアウォールでアクセス制限されており、プロキシサーバを経由する必要がある（同プロキシサーバのログもこの演習の調査対象です）
- 外部記録媒体の使用は厳格に管理されており、外部記録媒体経由で情報が流出した可能性は極めて低い
演習は4節（Ⅰ ～Ⅳ）に分かれています。Missionは各演習に2編ありますので、計8個のFlagを取得して下さい。なお、各演習は相互に関連していますので、Ⅰ→Ⅳの順に調査を進めて下さい。
調査対象のデータセット
調査対象のデータは、演習データの次の相対パスに保存されています。
各アーティファクトのCDIR-Aによるパース結果（CSV）
s19\CDIR-A-out
- NTFS（MFT、USNジャーナル）
- Registry（autoruns、Shimcache、Amcache）
- Prefetch
※ CDIR-AでパースしCSV化、文字コードはすべて「UTF-8」、区切り文字は「カンマ」
イベントログ（Evtx）
s19\Evtx
プロキシログ（CSV）
s19\Proxy_CSV
Web履歴（CSV）
s19\Web_CSV
※ BrowsingHistoryViewでCSV化、文字コードは「UTF-8」、区切り文字は「カンマ」
Webキャッシュリスト（CSV）
s19\WebCache_CSV
※ ChromeCacheViewでCSV化、文字コードは「UTF-8」、区切り文字は「カンマ」
（参考）想定事案におけるフォレンジック調査報告書の記載例
次に掲載する報告書サンプルは、想定事案におけるフォレンジック調査報告書（概要）の記載例です。Flagに関わる部分は伏字にしてあります。
（※注） 調査のヒントとなる記載も多く含まれます。まずは実際の調査と同様の条件（ノーヒント）でチャレンジされたい場合には最初に読まず、演習開始後に適宜参照して下さい。
なお、伏字の部分を埋めたバージョンは、演習Ⅲの解説に掲載しています。
