データ保全とは何か？

Size: px

Start display at page:

Download "データ保全とは何か？"

あけなおつつの
4 years ago
Views:

2 講師プロフィール高松啓経歴 2006 年 ~2008 年官公庁にて個人情報保護情報セキュリティの監査事故対応を担当 2008 年 ~2013 年セキュリティ企業においてフォレンジック調査を担当 2013 年 ~ ( 株 ) ラックサイバー救急センターにてフォレンジック技術を使用したインシデント対応を担当参考サイバー救急センター出動件数 2013 年 307 件 2014 年 222 件 (9 月末現在 ) 1

3 コンピュータフォレンジックとはデジタルフォレンジックとはインシデントレスポンス ( コンピュータやネットワーク等の資源及び環境の不正使用サービス妨害行為データの破壊意図しない情報の開示等並びにそれらへ至るための行為 ( 事象 ) 等への対応等を言う ) や法的紛争訴訟に際し電磁的記録の証拠保全及び調査分析を行うとともに電磁的記録の改ざん毀損等についての分析情報収集等を行う一連の科学的調査手法技術を言います 2

4 法廷での立証コンピュータフォレンジックとは現在フォレンジック技術は様々な目的で利用されている会計監査 (e-discovery) インシデントレスポンス 3

5 データ保全とはセキュリティインシデントが発生した際にインシデントに関わるデータの中から電磁的証拠となり得るものを収集取得すること保全したデータをもとにフォレンジック調査ログ調査を実施し被害内容 ( 原因影響範囲等 ) を明らかにする保全以降証拠として使用するデジタルデータには手が加えられていないことを証明する必要がある 4

6 データ保全の重要性インシデント発生現場はすでに汚染されている! これ以上現場を汚染してはならないフォレンジック調査を行う上で最も重要なパートである調査すべき証拠が消失改変されないよう証拠を保全する汚染される前に現場を確保訴訟も含めた対外対応を前提に記録を取るデータ解析に失敗しても復旧できるようディスクをコピー 5

7 ありがちな失敗例 1 データ保全をしないと不正侵入されていたからとりあえず再インストール調査をしていないため侵入原因への対策がとられないため再度不正侵入を受けてしまう影響範囲の調査をしていないため該当サーバを踏み台として他のサーバに侵入しておりバックドアプログラムが仕掛けられていたことに気づかない不審なファイルがあったため削除してしまった調査の際に必要になることがあるため隔離するほうが望ましいネットワークから切り離した後保全もせず電源オンのまま長期間放置ログのローテートがかかってしまう 6

8 ありがちな失敗例 2 再起動するデータ保全をしないとテンポラリファイルや揮発性の情報がとれなくなってしまうただし現実的には行われることがあり状況によってはしょうがないこともある保全の重要性を知らないユーザが調査様々なファイルへのアクセス最終アクセス日時の変更ファイルの削除削除データの上書きなど不用意なセキュリティツールのインストール実行システムに影響を与えたりその後の調査や解析に影響を与える操作は極力避けて速やかに保全を実施することが望ましい 7

9 端末のディスクイメージ保全すべきデータ社内調査を実施する前に保全することが望ましいメモリイメージマルウェア感染が疑わしい場合は再起動シャットダウン前にメモリイメージを収集ネットワークログプロキシログファイアーウォールログ 8

10 保全すべきデータ保全対象の選定どんなインシデントが起きたのかを把握し保全対象を選定する何がおきたのか何がきっかけで気づいたのか現在どうなっているのか etc... 9

11 保全すべきデータネットワーク経由での攻撃は端末内に痕跡だけでは被害範囲の特定が困難なので攻撃経路上の各種ログの収集が必要攻撃者 C&C サーバ通信パケットファイアーウォールログプロキシログメモリイメージディスクイメージメモリイメージディスクイメージ

12 重要なポイント可能な限り保全対象のデータ ( 原本 ) に変更を加えずに複製を作成すること原本と複製のハッシュ値が同一であることを確認する技術的な記録に加えてプロセスの記録が重要 11

13 重要なポイント Chain of Custody( 証拠管理の連鎖 ) 電子データの取得から法廷への提出まで完全性が保たれていることを証明するためのプロセス Chain of Custody 項目例調査対象のディスク ( 原本 ) を直接操作しない原本を複製し複製したディスクを調査する原本は保管する原本のハッシュ値を取得し裁判まで保管する原本と複製は金庫に保管し取り扱い時には担当者期間取り扱い内容などを記録する解析はChain of Custodyを保てる部屋で行う 12

14 ハッシュ値原本との同一性を保証するためハッシュ値を比較するディスクの不良セクタにより原本とハッシュ値が同一でないケースもある写真撮影複数人による立会記録 ( ログ ) 等で担保する 13

15 記録保全対象ディスク情報 ( 写真撮影含む ) メーカー型番ディスク容量 LBA シリアルNo モデルNo ディスクの管理番号引き渡し / 受領の記録提出者情報提出日付提出者署名受領者情報受領日付受領者署名 14

16 ハードディスクのイメージコピーの取得ディスクのイメージコピーを取得する調査は取得したコピーに対して行い原本 ( マスターディスク ) は厳重に保護するイメージコピー調査対象とすべき削除したデータもコピーされるファイルコピー証拠がコピーされない可能性がある 15

17 複製先の形式ディスク to ディスクディスク to イメージ複製先の HDD のサイズは複製元と同一またはそれより大きいものが必要イメージファイルで取得する場合は分割ファイルにしたり圧縮することも可能ディスク to ディスクディスク to イメージ 16

18 使用機材ツールの一例複製機器 ( デュプリケータ ) YEC 社 Demi ICS 社 Image Master Solo-4 フォレンジック用 CD ブート Linux Deft Helix Windows 用保全ツール FTK Imager EnCase Imager Fau-dd Linux 用保全ツール OS 付属のddコマンド Dcfldd 17

19 複製機器に求められる機能 1 書き込み防止機能原本に対しいかなる書き込みも行うことができない完全 ( 物理 ) 複製機能対象物全領域を複製することができる不良セクターへの対応物理的及びイメージによる複製同一性検証機能ハッシュ値やバイナリコンペア等による同一性検証セクターサイズの表示 18

20 複製機器に求められる機能 2 作業ログ監査証跡情報の表示出力機能対象物及び複製先の詳細情報作業内容及び各種設定情報作業時間等の作業結果作業者情報機器情報 19

21 複製機器 ( デュプリケーター ) を使用した保全ディスクイメージコピー取得のための専用機器であるため様々な機能を有する操作がわかりやすく操作ミス漏れが生じにくい 20

22 フォレンジック用 CD ブート OS を使用した保全調査対象機器でフォレンジック用 CDでフォレンジック用にカスタマイズされたOS( ディスクに変更を加えない ) を起動してディスクイメージを取得する Deft Helix 21

23 フォレンジック用 CD ブート OS で保全を行うケース 1 ハードディスクの取り外しが困難 22

24 フォレンジック用 CD ブート OS で保全を行うケース 2 ハードディスクのインターフェースに保全機器が未対応

25 フォレンジック用 CD ブート OS で保全を行うケース 3 複数ハードディスクを使用したシステム (RAID 等 ) 24

26 フォレンジック用CDブートOSで保全を行うケース④ 本体から取り外すと読めなくなるハードディスク 25

27 Windows 用保全ツールフォレンジックソフト開発会社等が無償で公開しているツール EnCase Imager GUIで操作できる保全用ツール開発元 :Guidance Software FTK Imager GUIで操作できる保全用ツール開発元 :AccessData Fau(Forenisc Acquisition Utilities)-dd Windows 用のddコマンド開発元 :GMG Systems 26

28 書き込み防止装置 (Write Blocker) 調査対象ディスクと解析 PCの間に接続し書き込みをブロックすることで意図しないデータ改変を防止する Write Blocker Write Read 27

29 Linux 用保全ツール保全用の dd コマンドや付属の dd コマンド dcfldd フォレンジック機能を備えたGNU ddの拡張版開発元 :Defense Computer Forensics Lab dc3dd GNU ddにフォレンジックのための機能を追加するパッチを当てたもの開発元 :DoD Cyber Crime Center 28

30 メモリイメージファイル稼働中のコンピュータの物理メモリの内容をファイルへ物理コピー ( ダンプ ) する取得方法により取得時のCPUレジスタ情報も取得するメモリイメージファイル 29

31 メモリイメージファイル取得ツール (Windows) dd MoonSols Windows Memory Toolkit ( 旧 windd)/dumpit FTK Imager(FTK Imager Lite) FastDump KnTDD winenn 30

32 の選定保全対象によって適切なを選択する必要がある物理マシンか仮想マシンか? シャットダウンできるか? OSは何か?(Windows/Linux/MacOS) HDDの容量? 光学ドライブやUSBポートは付いているか? 31

33 データ保全のまとめインシデントが発生したらまず保全! 保全したデータをもとにフォレンジック調査で被害内容 ( 原因影響範囲等 ) を明らかにする調査結果をもとに復旧再発防止を行う保全ではCahain of Custodyが重要保全にはいろいろな方法があるので適切な方法を選ぶインシデントはいつ発生するかわかりません! 自社内で保全が出来る体制の構築を是非検討してください 32

ログを活用したActive Directoryに対する攻撃の検知と対策

ログを活用したActive Directoryに対する攻撃の検知と対策電子署名者 : Japan Computer Emergency Response Team Coordination Center DN : c=jp, st=tokyo, l=chiyoda-ku, Japan Computer Emergency Response email=office@jpcert.or.jp, o=japan Computer Emergency Response Team