証券取引等監視委員会におけるデジタル フォレンジックへの取り組み 金融庁証券取引等監視委員会事務局特別調査課情報技術専門官皆山寛之 目次 1.SESCデジタル フォレンジックチームのご紹介 1.1. Member History 2. デジタル フォレンジックへの取り組み 2.1.

Transcription

1 証券取引等監視委員会におけるデジタル フォレンジックへの取り組み 金融庁証券取引等監視委員会事務局特別調査課情報技術専門官皆山寛之 目次 1.SESCデジタル フォレンジックチームのご紹介 1.1. Member History 2.1. 第一次 第二次デジタル フォレンジック整備計画第二次デジタル 2.2. データ保全 収集手法 2.3. フォレンジックソフトウェアの活用 2.4. DDイメージの仮想 PC 化 2.5. 大量データ分析 ( ビデオデモ ) 2.6. Chain of Custody 3. 人材育成 3.1. 人材 3.2. 研修 1

2 1.SESC デジタル フォレンジックチームのご紹介 1.1 Member 皆山寛之 情報技術専門官 証券取引特別調査官 証券検査官 平成 20 年 4 月採用任期付職員 前職メリルリンチ日本証券株式会社のシステム部 深山治 情報技術専門官 証券取引特別調査官 証券調査官 平成 21 年 11 月採用任期付職員 KPMG FAS より出向中 山本清子 証券取引特別調査官 証券検査官 平成 22 年 10 月採用任期付職員 あらた監査法人より出向 2 1.SESC デジタル フォレンジックチームのご紹介 1.2 History 金融庁検査局審議官佐々木清隆氏が SESC 特別調査課長であった当時 ライブドア事件が発生し メール調査に非常に苦労された経験 ( 永田議員偽メール事件など ) から SESC 総務課長時代にSESCの取り組み最優先事項としてプロジェクトを立ち上げました (2009 年前半 ) 現在はSESC 特別調査課にDFT(Digital Forensic Team) を設置し また平成 22 年度予算で調達した機材を設置したDFR(Digital Forensic Room) にて日々の業務を行っており 平成 23 年度予算で さらなる調査能力の向上を図っています 特別調査課は最終的に検察庁へ告発することから いわゆる厳格な証明が求められ Digital forensic 技術についても 厳格な証明を行える程度の機材を調達し運用しています また 特に調査過程において嫌疑者や 参考人 企業などから大量のデータを収集する必要があり 大量データの Review について特に注力をしています 平成 22 年 6 月には SESC のデジタル フォレンジックが NHK のニュース 9 で紹介されました 3

3 2.1. 第一次 第二次デジタル フォレンジック整備計画 コアインフラストラクチャー HP 社製 Z800 Workstation x3 with 16GB RAM & Quad Core Xeon Processor x2 デジタル フォレンジックに必要なソフトウェアが求めるハードウェアスペックが非常に高いため 映画の CG 作成などにも使用される高性能ワークステーションを導入 ハードディスクデュプリケーター 押収したパソコンに内蔵されているハードディスクの完全なコピーを作成し 証拠化するための機材で 証拠ハードディスクと全く同じものを作成することができる ICS 社製 SOLO4 YEC 社製 DEMI2020 TABLEAU 社製 TD 第一次 第二次デジタル フォレンジック整備計画 ライトブロッカー TABLEAU 社製 TK35es ハードディスクライトブロッカー x2 TABLEAU 社製 TK8 USBライトブロッカー x1 TABLEAU 社製 TK9 FireWireライトブロッカー x1 YEC 社製 USB Write Protector x2 YEC 社製ハードディスクライトブロッカー x2 押収したUSB メモリーなどを改変することなく保全 分析するために使用する 携帯電話電波遮断装置 森田テック社製 押収した携帯電話の電波を遮断することで 望まない着信を防ぎ リモートワイプ (iphoneなどのスマートフォンに搭載された機能 ) 大量の着信をさせることによる通話記録の削除などを防ぐことができる 5

4 2.1. 第一次 第二次デジタル フォレンジック整備計画 ソフトウェア FTKやEnCaseなどフォレンジック専門ソフトウェアの活用 Accessdata 社製 FTK3.2 x2 Guidance software 社製 EnCase6.19x1 1 Guidance software 社製 EnCase7 x1 大量データレビュー環境 HP 製デスクトップPC Windows7 Professional 64Bit, Core-i, 4GB RAM x5 DELL 製デスクトップ PC Windows7 Pfofessional f 64Bit, Core-i7, 4GB RAM, USB3.0 x8 NUIX 社製 NUIX Forensic Desktop x1 NUIX Forensic Reviewer x2 NUIX ARX Reviewer x3 NUIX Forensic Desktop (50GB) x 第一次 第二次デジタル フォレンジック整備計画 携帯電話データの抽出と分析 SESC では 嫌疑者や参考人 企業などから押収した携帯電話のデータを以下の方法にて 抽出 しています ios デバイス (iphone, ipad など ) については データの 復元 にも取り組んでいます セレブライト社製 UFED Physical Pro 1 NTTドコモ ソフトバンクのいわゆるガラパゴス携帯電話や iphoneやアンドロイドos 携帯のデータ抽出が可能です Katana Forensic 社製 LANTERN iosデバイス (iphone ipadなど ) のデータ取得と解析は専門ソフトウエアであるLANTERNにて行っています LANTERNは 押収したPCに残っているiPhoneのバックアップファイルを分析することも可能で また上述のUFEDで取得したイメージファイルの分析を行うことや 次期バージョンでは LANTERN 自体がパスコードで保護されたiPhoneの完全コピーを行い パスコードを無効化して分析することができるようになります ( 米国商務省の輸出許可待ち ) また iosデバイスで多用されるsqliteというデータベースの内容を解析し 削除されたデータの復元にも取り組んでいます 7

5 2.1. 第一次 第二次デジタル フォレンジック整備計画 調査データの可視化 SESCにおける調査では 銀行口座の入出金記録 株式取引記録 発行体の適時開示情報 クレジットカードの使用履歴 スイカ PASMOなどの交通系カード使用履歴 UFEDやLANTERNなどから抽出した通話記録など 様々な時系列情報を収集 分析を行っています i2 社製アナリストノートブック 今までは これらの情報は バラバラに存在し 疑わしき取引情報 インサイダー取引事案において 取引事案において嫌疑者の株取引履歴 発行体の適時開示情報 UFEDやLANTERNで抽出した通話記録 銀行口座の動きなどを 時系列で整理することで 人の動き お金の動き 情報の動きを可視化することが可能となりました データ保全 収集手法 データ収集専用ツール (Nuix Portable) を利用したデータ収集 大容量ですべてのデータを収集することが困難なファイルサーバなどから データを収集するソフトウェアで 予め収集するべきデータの種類や作成 変更日時を指定したプログラムをハードウェア暗号化されたUSBメモリなどに配布し 調査官がプログラムを現場で操作することにより 誰にでもデータを確実に かつデータの証拠性を担保しながら 必要なデータのみ収集を行うことができます 収集元を指定し 保全先を指定 必要なデータを自動保全 9

6 2.2. データ保全 収集手法 ハードディスクデュプリケータを利用した保全 ハードディスクを物理的に PC から取り出せることが前提 物理的 HDD を 物理的 HDD と全く同じクローンファイルとして保全 削除されたデータを含めて保全可能 保全元 HDD 保全先ファイルのハッシュ値を比較し同一であることを確認 作業ログも別途保存 デジタル フォレンジック1CD Linuxを利用した保全 ハードディスクを物理的にPCから取り出せない場合 PC に本来インストールされているウインドウズ OS とは異なる Linux を CD ドライブなどから起動 DD_RESCUEコマンド DCFLDDコマンドなどで証拠保全 フォレンジックソフトウェアの活用 FTK3.2 FTK (Forensic Toolkit) DDイメージや E01イメージを分析し ファイルの仕分け ファイルシグネチャからのデータ復元 String Searchからのデータ復元を行います Registry Viewer DDイメージやジや E01イメージに含まれるレジストリファイルを分析しジに含まれるレジストリファイルを分析し OS のインストール日 USBメモリの最終接続日など PC 上のユーザ行動が記録されたファイルを分析することができます PRTK (Password Recovery Toolkit) レジストリファイルなどから パスワード総当たり攻撃用の辞書を作成し パスワードで保護されたオフィスファイルのパスワード無効化を行うことができます DNA (Distributed Network Attack) PRTKで行う総当たり攻撃を 分散化させることで 効率化をはかることができます 11

7 2.3 フォレンジックソフトウェアの活用 FTK3.2 の使用例 FTK3.2でパスワードで保護されたファイルの一覧を表示したところ ファイルシグネチャ分析を行い ファイルの仕分けを行っています ファイルシグネチャベースの復元 String searchを利用した復元なども行っています フォレンジックソフトウェアの活用 EnCase EnCase 6.18 or 6.19 特に 強制調査直後の嫌疑者が使用していたPCの解析を行う際に使用しています 削除データの復元やインターネット使用履歴の可視化などに強みを持ち すぐに解析結果を調査官が知る必要のある作業に使用しています EnCase 7 今年度に調達したフォレンジックソフトウェアで 上述 EnCase6.18 の後継版です EnCase6からの変更点が多く なれるのに苦労しています ( 正直なところ ) 13

8 2.3 フォレンジックソフトウェアの活用 EnCase6.18 によるインターネット使用履歴調査 Yahoo で両国中学などを検索していたことがわかる DD イメージの仮想 PC 化 LiveView LE および VMware Workstation もしくは VMware Player Point! 仮想化技術導入したことにより調査官は証拠品そのものを起動することなく 嫌疑者などと同じ環境を再現することが出来るようになりました LiveView Law Enforcement バージョンでは ローカルアカウントのパスワードを無効化します 15

9 2.5. 大量データ分析 ビデオデモ Chain of Custody Chain of Custody 押収したデジタル証拠が 押収 保全 解析 証拠化といった調査の過程において 調査機関などによる意図的な変更がなされなかったという証明をするために 調査過程における作業を正確に記録し 必要であればハッシュ値などを取得して その正当性を保証すること ハードディスク 保全時に原本及び保全データ両方ハッシュ値を取得 比較し値が同一であることを確認 携帯電話 ハッシュ値の取得は可能であるが 原本を起動する必要があるため 正確なあるた ハッシュ値の算出は困難 故に報告書に保全経緯を正確に記載する ファイルサーバデータ ハッシュ値を算出しながらデータを保全する 大切なのは 押収の現場 保全 解析 証拠化などの段階において Repetable Tracable Accountableな作業及び報告がなされることであり ハッシュ値があるからといって 作業の正当性が確保されがたと言うわけではない DF 担当者が作成する作業報告書の質が重要 17

10 3. 人材育成 3.1 人材 現状 中途採用の任期付職員もしくは民間からの出向者による運用 コア技術 経験は最終的に SESC 外へ 緊急で重要なDFニーズを満たすためには最適な人材構成 あるべき姿 中途採用者や出向者の数を減らし プロパー職員での運用 DF 技術は確立 最も重要な人材育成に焦点を当てた運用を始める プロパー職員のDFチームへの編入 DF 技術は コンピュータ技術の基礎であり DFを出発点として 金融庁のシステム人材を育成するとの観点から 若手職員の積極的なチームへのムへの参画を来年度より推進 常勤職員を中心とした体制を構築 予算 研修について 3.2 研修 庁内研修 8 月期基礎研修 特別調査課員に対して デジタル調査の基礎 (IP アドレス調査 ファイル情報調査手法 ) などについての基礎研修を全員が受講 9 月期 Digital Forensic Associate(DFA) 研修 DFT と調査担当班の橋渡しをする人材を育成する目的で 各調査班から 1 名選抜し DFA 研修を行います Nuixの使い方や調査手法について徹底した訓練を行います 1 月期専科研修 特別調査課員に対して 最近のIT 事情や新たな調査手法について研修を行います 19

11 3. 予算 研修について 3.2 研修 他省庁向け研修 東京地検特捜部 大阪地検特捜部 名古屋地検特捜部 東京国税局東京国税局査察部 大阪国税局査察部 公正取引委員会などに対してNUIXの使用方法や データ収集手法 FTKの効果的な使用方法などについて SESC での経験をもとに 研修を行いました 予算 研修について 3.2 研修 庁外研修 関東管区警察学校情報技術解析専科 特別調査課より 1 名 開示検査課より 1 名 毎年警察庁関東管区警察学校にて行われる 情報技術解析専科に人員を派遣しています 警察大学校付属警察情報通信学校情報通信技術専科 ( 情報技術解析 ) 過去に特別調査課より 1 名 取引調査課より 1 名参加しました Ji2やその他ベンダーが開催するトレーニング 年末をめどに 各種デジタル フォレンジック調査会社が提供するトレーニングに参加を予定しています 21