侵害を受けた機器から「何が起きたか」を後から示せる形で取り出すのがフォレンジックです。難しいのは技術より順番で、侵害の跡は消えやすい物から順に消えていくのに、現場は一刻も早く復旧したい。この2つが真正面からぶつかる場面が、そのまま設問になります。
目的は2つあります。原因究明（どこから入られ、どこまで及んだか）と、証拠保全（後で第三者に示せる状態で残す）。前者だけなら手早く調べればよいのですが、後者が要るために「触った時点で証拠が変わる」ことを避ける手順が加わります。ここが普通の障害調査との決定的な違いです。
跡は「消えやすい順」に並んでいる
この並びを揮発性の高い順と呼びます。「まず電源を落として持ち帰る」は、いちばん上を自分の手で消してしまう行為です。逆に「動かしたまま調べ続ける」と、下の層が上書きで流れていきます。どちらに転んでも失うものがあるので、何を優先するかを先に決めるのがこの分野の作法です。
「まず復旧、調査は後で」は自然な判断ですが、再起動・再インストール・ウイルス対策ソフトの駆除は、いずれも証拠を消す操作です。設問では「復旧を急いだ結果、何が分からなくなったか」が問われます。復旧と調査は同時に成立しない——この衝突に気づけるかどうかが分かれ目です。
「後から示せる」ための3点セット
元を変えない
- 複製して複製を調べる（原本には触らない）
- 複製時は書込みを禁止する装置を挟む
- 調査は複製側だけで行う
同一だと示す
- 原本と複製のハッシュ値を取り、一致を記録
- 後日もう一度計算して変わっていないことを示せる
- 値が違えば「途中で変わった」と分かる
誰がいつ扱ったかを残す
- 取得・移送・保管・返却を連続した記録にする
- 空白があると「その間に差し替えられた可能性」を否定できない
時刻を合わせておく
- 機器ごとに時計がずれていると順序が組み立てられない
- 時刻同期は事前の備え。事後には直せない
問われるのは手順の名前ではなく、「なぜその操作が必要か」です。ハッシュ値は改変されていないことを示すため、書込み禁止は調べる行為自体で原本を変えないため、扱いの記録はすり替えの余地を消すため。いずれも「自分たちが信じるため」ではなく第三者に示すためという向きで書くと、答案がぶれません。
取り出した後に何を組み立てるか
集めた記録を時刻順に並べ、侵入の入口・広がった経路・持ち出しの有無を組み立てます。ここで効くのが複数の記録の突き合わせで、端末のログ・通信の記録・認証の記録が同じ時刻で符合するかを見ます。1つの機器だけでは「攻撃者が消したのか、元から無いのか」を区別できません。