デジタルフォレンジックスの意味と他の対策との違い
情報セキュリティマネジメント試験 令和5年度 問3 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
デジタルフォレンジックスの説明はどれか。
- ア
サイバー攻撃に関連する脅威情報を標準化された方法で記述し，その脅威情報をセキュリティ対策機器に提供すること
- イ
受信メールに添付された実行ファイルを動作させたときに，不正な振る舞いがないかどうかをメールボックスへの保存前に確認すること
- ウ
情報セキュリティインシデント発生時に，法的な証拠となるデータを収集し，保管し，調査分析すること
- エ
内部ネットワークにおいて，通信データを盗聴されないように暗号化すること
会話形式の解説
講師今回はデジタルフォレンジックスの意味を問う問題です。選択肢がそれぞれ「事前の防御」なのか「事後の証拠集めと調査」なのかに注目すると見分けやすくなります。
受験者名前は聞いたことがありますが、どれもセキュリティ対策に見えて迷いました。フォレンジックスという言葉自体はどういう意味なのですか。
講師もともとは「法廷の」「科学捜査の」という意味の言葉です。インシデント、つまりセキュリティ上の事故が起きた後に、証拠を集めて調べる活動を指します。
受験者それなら、インシデント発生時に法的な証拠となるデータを収集・保管して調査分析する、という選択肢がそのまま当てはまりそうです。
講師そのとおりです。これがデジタルフォレンジックスの定義そのものです。集めた証拠は、裁判などの法的紛争や社内処分の場面で事実を立証するために使われます。
受験者添付された実行ファイルを動かして不正な振る舞いがないかを確かめる選択肢も、「調査」なので少し迷いました。
講師それはサンドボックスによる動的解析です。メールボックスに保存する前に検査するので、侵入を防ぐ事前対策に当たります。事故の後に証拠を調べる活動とは違います。
受験者脅威情報を標準化された方法で記述して対策機器に提供する選択肢も、情報を集めている点が似ていると感じました。
講師それは脅威インテリジェンスの活用です。攻撃に関する情報を共有して防御に役立てる取組みで、インシデントの証拠を収集・保全することが目的ではありません。記述形式のSTIXと交換手順のTAXIIという用語で出ることもあります。内部ネットワークの通信を暗号化する選択肢は、盗聴を防いで機密性を守る対策なので、証拠の収集・保全とは目的が異なります。
受験者事前に防ぐものが三つ、事後に証拠を集めて調べるものが一つ、という分け方で判断すればよいのですね。
講師はい。補足すると、証拠を保全するときは原本を直接操作せずに複製を作って解析し、ハッシュ値で原本と複製が同一であることを確認するのが一般的です。また、証拠を誰がいつ扱ったかを途切れなく記録する考え方をチェーン・オブ・カストディ、つまり証拠保全の連鎖といい、これも出題されることがあります。証拠として認められるには、データが改変されていないことを証明できる必要があるからです。
まとめ
デジタルフォレンジックスとは、情報セキュリティインシデントの発生時に、法的な証拠となる電子データを収集・保全し、調査分析する活動です。サンドボックスによる添付ファイルの検査や通信の暗号化は事前の防御策であり、脅威情報の標準化と共有は防御に役立てるための脅威インテリジェンスの取組みです。事前の防御か事後の証拠収集かという観点で見分けると判断しやすくなります。証拠保全では、複製を作って解析すること、ハッシュ値で同一性を確認すること、チェーン・オブ・カストディで取扱いの記録を残すことが重要です。
解答・解説
正解はウです
この問題のテーマ
デジタルフォレンジックスとは何かを正しく理解しているか、また脅威情報の共有、サンドボックス、通信の暗号化といった他のセキュリティ対策と区別できるかを問う問題です。
解き方の考え方
「フォレンジックス」は本来「法廷の」「科学捜査の」という意味の言葉で、インシデントが起きた後に証拠を集めて調べる活動を指します。そこで、各選択肢が「事前の防御」なのか「事後の証拠収集・調査」なのかを見分けます。法的な証拠を収集・保管・分析すると書かれている選択肢が正解です。
選択肢ごとの解説
- ×ア サイバー攻撃に関連する脅威情報を標準化された方法で記述し，その脅威情報をセキュリティ対策機器に提供すること脅威情報を標準化された方法で記述し、セキュリティ対策機器に提供するという説明は、脅威インテリジェンスの活用に当たります。これは攻撃に関する情報を共有して防御に役立てる取組みで、インシデントの証拠を収集・保全することが目的ではありません。
- ×イ 受信メールに添付された実行ファイルを動作させたときに，不正な振る舞いがないかどうかをメールボックスへの保存前に確認すること受信メールの添付ファイルを実際に動かし、不正な振る舞いがないかを確認するという説明は、サンドボックスによる動的解析です。メールボックスに保存する前に検査するため、侵入を防ぐ事前対策に当たり、事後に証拠を調べる活動とは異なります。
- ○ウ 情報セキュリティインシデント発生時に，法的な証拠となるデータを収集し，保管し，調査分析することインシデント発生時に、法的な証拠となるデータを収集・保管し、調査分析するという説明は、デジタルフォレンジックスの定義そのものです。集めた証拠は、裁判などの法的紛争や社内処分の場面で事実を立証するために使われます。
- ×エ 内部ネットワークにおいて，通信データを盗聴されないように暗号化すること内部ネットワークの通信を暗号化するという説明は、盗聴を防いで機密性を守るための対策です。証拠の収集・保全とは目的がまったく異なります。
補足
証拠を保全する際は、原本を直接操作せずに複製を作って解析し、ハッシュ値を使って原本と複製が同一であることを確認するのが一般的です。また、証拠を誰がいつ扱ったかを途切れなく記録する考え方をチェーン・オブ・カストディ（証拠保全の連鎖）といい、これもあわせて出題されることがあります。脅威情報の記述形式であるSTIXと、その交換手順であるTAXIIは、選択肢アの内容に対応する用語として覚えておくと役立ちます。
POINT
- デジタルフォレンジックスとは、インシデントの発生時に電子的な証拠を収集・保全し、調査分析する活動のことです。
- 対象はPC、サーバ、スマートフォン、ネットワーク機器、通信ログなど幅広く、その結果は裁判や社内処分での立証に使われます。
- 証拠として認められるには、取得方法や保管手順を記録し、データが改変されていないことを証明できる必要があります。
- 選択肢を見分けるときは、事前の防御策か、事後の証拠収集・調査かという観点が有効です。