performing-disk-forensics-investigation

ディスクフォレンジック調査の実施

使用する場面

• セキュリティインシデントにより、システムの永続ストレージのフォレンジック分析が必要な場合
• 法的手続きや人事調査の可能性に備えて、証拠の保全が必要な場合
• 削除されたファイル、ブラウザー履歴、またはアプリケーションのアーティファクトを復元する必要がある場合
• ファイルシステムのメタデータから、ユーザーまたは攻撃者の活動のタイムラインを再構築する必要がある場合
• ディスクに保存されたマルウェアの永続化メカニズムを特定し、記録する必要がある場合

使用しないでください。実行中のプロセスやネットワーク接続など、揮発性の証拠には使用せず、代わりに Volatility を使ったメモリフォレンジックを行ってください。

前提条件

• 書き込み防止用のハードウェアまたはソフトウェア（Tableau T35u、Arsenal Image Mounter）を備えたフォレンジックワークステーション
• フォレンジックイメージ作成ソフトウェア：FTK Imager、Guymager、または dcfldd を使用する dd
• 分析プラットフォーム：Autopsy、FTK（Forensic Toolkit）、または X-Ways Forensics
• 十分なストレージ容量（イメージと作業用コピーのため、対象ドライブの 2～3 倍）
• 物理メディア用の証拠保管連鎖フォームと証拠袋
• 証拠の完全性を確認するハッシュ検証ツール（SHA-256）

ワークフロー

ステップ 1：証拠を保護し、記録する

ストレージメディアに触れる前に、証拠保管連鎖を確立します。

• システムを撮影し、シリアル番号、ラベル、ケーブル接続を記録します
• 証拠の出所を記録します：デバイスの種類、メーカー、モデル、シリアル番号、容量
• 日付、時刻、取扱者名、取得理由を記載した証拠保管連鎖フォームに記入します
• 証拠ドライブをフォレンジックワークステーションに接続する際は、ハードウェアの書き込み防止装置を使用します

Chain of Custody Record:
━━━━━━━━━━━━━━━━━━━━━━━
Case ID:          INC-2025-1547
Evidence ID:      EVD-001
Description:      Samsung 870 EVO 500GB SSD
Serial Number:    S5XXNJ0R912345
Source Host:      WKSTN-042
Acquired By:      [Analyst Name]
Date/Time:        2025-11-15T16:30:00Z
Write Blocker:    Tableau T35u (S/N: T35U-12345)

ステップ 2：フォレンジックイメージを作成する

証拠ドライブのビット単位のコピーを作成します。

FTK Imager を使用する場合（Windows）：

1. 書き込み防止装置を介して証拠ドライブを接続します
2. File > Create Disk Image > ソースドライブを選択します
3. 圧縮とメタデータのために E01（Expert Witness Format）を選択します
4. 保存先のパスと証拠アイテムの情報を設定します
5. "Verify images after they are created" を有効にします
6. ソースとイメージのハッシュ値を記録します

dcfldd を使用する場合（Linux）：

# Create raw image with hash verification
dcfldd if=/dev/sdb of=/evidence/WKSTN-042.dd \
  hash=sha256 hashlog=/evidence/WKSTN-042.sha256 \
  bs=4096 conv=noerror,sync

# Verify image integrity
sha256sum /evidence/WKSTN-042.dd

Imaging Summary:
Source Drive:    /dev/sdb (Samsung 870 EVO 500GB)
Image File:     WKSTN-042.E01
Image Format:   E01 (Expert Witness)
Source Hash:     SHA-256: a1b2c3d4e5f6...
Image Hash:      SHA-256: a1b2c3d4e5f6...  (MATCH)
Sectors Read:    976,773,168
Errors:          0
Duration:        47 minutes

ステップ 3：ファイルシステム構造を分析する

フォレンジックイメージを Autopsy または FTK で開き、ファイルシステムを調べます。

• パーティション構成（MBR/GPT、NTFS/ext4/APFS パーティション）を特定します
• NTFS の Master File Table（MFT）または ext4 の inode テーブルを調べます
• 削除されたファイルやディレクトリ（未割り当てとしてマークされているものの、まだ上書きされていないもの）を特定します
• ファイルカービングを使用して、未割り当て領域からファイルを復元します
• 隠しデータがないか、代替データストリーム（NTFS ADS）を調べます

調査対象となる主な Windows アーティファクト：

User Activity:
- NTUSER.DAT (registry hive per user)
- UsrClass.dat (shellbags, file access history)
- Recent files: %AppData%\Microsoft\Windows\Recent\
- Jump lists: %AppData%\Microsoft\Windows\Recent\AutomaticDestinations\

Program Execution:
- Prefetch: C:\Windows\Prefetch\*.pf
- Amcache: C:\Windows\appcompat\Programs\Amcache.hve
- SRUM: C:\Windows\System32\SRU\SRUDB.dat
- ShimCache: SYSTEM registry hive

Persistence:
- Scheduled Tasks: C:\Windows\System32\Tasks\
- Startup folders: %AppData%\Microsoft\Windows\Start Menu\Programs\Startup\
- Services: SYSTEM registry hive

Network:
- WLAN profiles: C:\ProgramData\Microsoft\Wlansvc\Profiles\
- Browser history: Chrome, Firefox, Edge profile directories

ステップ 4：タイムラインを再構築する

ファイルシステムのアクティビティを包括的なタイムラインにまとめます。

Autopsy Timeline Module を使用する場合：

1. 利用可能なすべてのソース（MFT、イベントログ、ブラウザー履歴、プリフェッチ）からタイムラインを生成します
2. 調査対象の期間に絞り込みます
3. インシデントと相関するアクティビティの集中箇所を特定します
4. ファイルの作成、変更、アクセスのタイムスタンプに基づいて、攻撃者の行動順序を記録します

The Sleuth Kit を使用する場合（コマンドライン）：

# Generate body file from NTFS image
fls -r -m / WKSTN-042.dd > bodyfile.txt

# Create timeline from body file
mactime -b bodyfile.txt -d > timeline.csv

# Filter timeline to investigation period
grep "2025-11-15" timeline.csv | sort > incident_timeline.csv

ステップ 5：アーティファクトを復元して分析する

特定のフォレンジックアーティファクトを抽出して分析します。

• プリフェッチファイル：PECmd で解析し、プログラムの実行時刻と読み込まれた DLL を特定します
• イベントログ：Windows XML イベントログを EvtxECmd で解析します
• レジストリ：RegRipper または Registry Explorer で解析し、ユーザーのアクティビティとシステム構成を確認します
• ブラウザーアーティファクト：Hindsight（Chrome）、KAPE、または DB Browser で SQLite データベースを解析します
• USB デバイスの履歴：SYSTEM\CurrentControlSet\Enum\USBSTOR レジストリキーから抽出します
• $MFT 分析：MFTECmd で解析し、$SI および $FN のタイムスタンプを含む詳細なファイルメタデータを確認します

ステップ 6：調査結果を文書化する

法的手続きに適したフォレンジック分析レポートを作成します。

• 証拠の完全性に関する記録（ハッシュチェーン）を維持します
• 使用したすべてのツールとそのバージョンを記録します
• すべての分析手順を再現可能な方法で記録します
• 推測を交えず、事実に基づいて調査結果を提示します
• 事実（観察されたデータ）と解釈（分析者の結論）を明確に区別します

主な概念

用語	定義
フォレンジックイメージ	削除済みファイルや未割り当て領域を含むすべてのデータを保持する、ストレージメディアのビット単位のコピー
ライトブロッカー	証拠の取得中に証拠メディアが変更されるのを防ぐハードウェアまたはソフトウェアデバイス
E01 形式	EnCase および FTK で使用される Expert Witness 形式です。圧縮、メタデータ、組み込みのハッシュ検証に対応しています
ファイルカービング	未割り当てのディスク領域からファイルヘッダーとフッターを検索し、削除済みファイルを再構築する復元手法
MFT（Master File Table）	削除済みエントリーを含む、すべてのファイルとディレクトリのエントリーを格納する NTFS のメタデータ構造
MAC タイムスタンプ	タイムラインの再構築に使用する、ファイルの変更、アクセス、作成のタイムスタンプです（NTFS にはエントリー変更時刻もあります）
プリフェッチ	プログラム実行のメタデータを記録する Windows のアーティファクトです。実行回数、タイムスタンプ、読み込まれた DLL が含まれます
未割り当て領域	どのファイルにも割り当てられていないディスクセクターです。カービングによって復元可能な削除済みファイルの痕跡が残っている場合があります

ツールとシステム

• FTK Imager：E01、AFF、raw 形式に対応し、ハッシュ検証機能を内蔵した無料のフォレンジックイメージ取得ツール
• Autopsy：包括的なディスク分析を行うための、The Sleuth Kit を基盤とするオープンソースのデジタルフォレンジックプラットフォーム
• KAPE (Kroll Artifact Parser and Extractor)：アーティファクトを迅速に抽出するための、トリアージ収集および解析ツール
• X-Ways Forensics：大規模なデータセットでの速度と効率性に定評のある商用フォレンジック分析ツール
• Eric Zimmerman's Tools：Windows のアーティファクト用の無料フォレンジック解析ツール群（PECmd、MFTECmd、EvtxECmd、RegRipper）

よくあるシナリオ

シナリオ：従業員によるデータ窃取の調査

背景：ある従業員が退職を申し出ており、退職前に専有ファイルを USB ドライブにコピーした疑いがあります。人事部から、その従業員のワークステーションに関するフォレンジック調査を依頼されました。

アプローチ：

1. ライトブロッカーを使用し、FTK Imager でワークステーションのディスクイメージを取得します
2. SYSTEM レジストリから USB デバイスの履歴を解析し、接続されたデバイスを特定します
3. ShellBags と Jump Lists を調べ、ファイルの閲覧やリムーバブルメディアへのコピーの証拠を確認します
4. Recent フォルダー内の LNK ファイルを解析し、最近アクセスされたドキュメントを特定します
5. ブラウザーの履歴を分析し、個人用クラウドストレージへのアップロード（Google Drive、Dropbox）を確認します
6. USB の接続とファイルアクセスイベントを関連付けてタイムラインを作成します

注意点：

• IT 部門がワークステーションを再割り当てする前にディスクイメージを取得しないこと
• USB の証拠と併せてクラウドストレージのブラウザー履歴を確認しないこと
• 削除済みファイルの以前のバージョンを含んでいる可能性があるボリュームシャドウコピーを見落とすこと
• 裏付けとなる証拠の記録がないまま、分析上の結論を事実として提示すること

出力形式

DISK FORENSICS INVESTIGATION REPORT
=====================================
Case ID:          INC-2025-1547
Evidence:         EVD-001 (Samsung 870 EVO 500GB SSD)
Examiner:         [Name]
Date of Analysis: 2025-11-16

EVIDENCE INTEGRITY
Source Hash:      SHA-256: a1b2c3d4e5f6...
Image Hash:       SHA-256: a1b2c3d4e5f6... (VERIFIED MATCH)
Write Blocker:    Tableau T35u

PARTITION LAYOUT
Partition 1:  NTFS  100 MB   (System Reserved)
Partition 2:  NTFS  465 GB   (C: - OS and Data)
Partition 3:  NTFS  500 MB   (Recovery)

KEY FINDINGS
1. [Timestamp] - Malware dropper created in %TEMP% (update.exe)
2. [Timestamp] - Scheduled task "WindowsUpdate" created for persistence
3. [Timestamp] - Prefetch shows 14 executions of update.exe
4. [Timestamp] - USB device "Kingston DataTraveler" connected
5. [Timestamp] - 847 files copied to E:\ drive (ShellBag evidence)

RECOVERED ARTIFACTS
- 3 deleted malware samples recovered from unallocated space
- Browser history showing C2 panel access
- Registry evidence of disabled security software

TIMELINE
[Chronological event listing with timestamps and evidence sources]

TOOLS USED
- FTK Imager 4.7.1 (imaging)
- Autopsy 4.21.0 (analysis)
- PECmd 1.5.0 (prefetch parsing)
- MFTECmd 1.2.2 (MFT analysis)