無料会員登録
不正アクセスが疑われるとき、「怪しい画面をスクリーンショットで残しておけば証拠になる」と考える方も少なくありません。しかし、不正アクセスの事実や被害範囲を説明するには、画面だけでなく、認証ログ、操作ログ、通信記録、端末の痕跡などを組み合わせる必要があります。
特に重要なのは、「誰が・いつ・どこから・どのアカウントや端末に・何をしたのか」を後から時系列で再現できる状態にすることです。そのためには、CSVやJSON、EVTXなどの原本ログを保存し、ハッシュ値や取得日時、取得者、取得元を記録しておく必要があります。
また、侵害が疑われる端末を再起動したり、アカウントを削除したり、ログをExcelで編集して上書きしたりすると、不正アクセスを確認するための証拠性が低下する恐れがあります。被害拡大を止めながら、証拠を壊さない対応が重要です。
そこで本記事では、不正アクセスの証拠として優先して残すべき情報、初動での証拠保全方法、Windows・Microsoft 365・Linux・ネットワークで確認したいログ、証拠能力を落とす行為、フォレンジック調査で侵入経路や被害範囲を確認する方法までを解説します。
不正アクセスの証拠とは
不正アクセスの証拠とは、単に「怪しいログインがあった」と示す情報ではありません。複数の記録を組み合わせ、不正アクセスの発生時刻、利用されたアカウント、接続元、実行された操作、被害結果まで説明できる情報が重要です。
認証・ログイン記録
IdP、VPN、Microsoft 365、Google Workspace、Active Directory、SSH、RDP、各種SaaSなどのログイン履歴は、不正アクセス調査の基本となる証拠です。
ユーザーID、日時、送信元IP、User-Agent、端末ID、MFAの結果、ログイン成功・失敗、セッションIDなどを確認します。
サーバー・クラウドの操作ログ
Webサーバー、API、OS、DB、WAF、Firewall、EDR、SIEM、クラウド監査ログなどには、認証後に攻撃者が何をしたかが残る場合があります。
管理者追加、権限変更、ファイル閲覧・ダウンロード、設定変更、API操作などを時系列で確認します。
ネットワーク通信記録
Firewall、Proxy、DNS、DHCP、NetFlow、VPN、PCAPなどから、どの端末がどの外部IPやドメインへ通信したのかを確認します。
接続開始・終了時刻、通信先、ポート、通信量などは、不審な外部通信や情報持ち出しを確認する重要な情報です。
端末内の実行・操作痕跡
Windows Event Log、Sysmon、EDR telemetry、macOS Unified Log、ブラウザ履歴、プロセス実行履歴、サービス、タスクスケジューラなどを確認します。
実行ファイルのハッシュや親子プロセス、ログオン種別などを確認することで、不審な操作の流れを追跡できます。
不正操作によって発生した結果
メールの自動転送、アカウント追加、管理者権限付与、ファイル削除、外部共有など、不正アクセス後に発生した操作結果も重要です。
金銭・情報漏えいなど被害の裏付け
金融取引明細、請求書、漏えい通知、復旧費用、業務停止記録などは、実際にどの程度の被害が発生したかを示す資料になります。
IPアドレスだけで犯人を断定しない
IPアドレスは重要な手掛かりですが、VPN、Proxy、NAT、踏み台、共有回線などが利用されることがあります。
そのため、IPアドレス単独ではなく、認証・端末・クラウド・ネットワークの記録を相関して評価する必要があります。
不正アクセスが疑われるときに最初に保全する証拠
不正アクセスを発見した直後は、復旧を急ぐよりも、まず重要な記録を残すことが大切です。
不審な画面を記録する
ログイン履歴、不審な通知、メール、管理画面、EDRアラート、送金・注文履歴などをスクリーンショットで保存します。
可能であればURL、日時、アカウント名が分かる状態で撮影し、前後の画面遷移も記録しておくと説明しやすくなります。
原本ログをエクスポートする
画面キャプチャだけでなく、CSV、JSON、EVTX、syslog、監査ログ、メール原文の.emlなど、可能な限り機械可読な形式で取得します。
スクリーンショットだけでは、後から検索・相関分析したり、真正性を確認したりすることが難しいためです。
取得ファイルにハッシュを付ける
取得したログや証拠ファイルごとにSHA-256などのハッシュ値を計算し、取得日時、取得者、取得元とあわせて記録します。
原本は読み取り専用またはアクセス制限された場所で保管し、分析作業はコピーで行います。
時系列のタイムラインを作成する
「不審アクセスがあった日時」「発見日時」「ネットワーク隔離」「パスワード変更」「ログ取得」「外部連絡」などを時系列で記録します。
JSTとUTCが混在する場合は、タイムゾーンも必ず記録してください。
侵害端末を不用意に再起動しない
再起動すると、メモリ上の通信情報、実行中プロセス、認証トークンなどが失われる可能性があります。
被害拡大を止める必要がある場合は、電源断よりもネットワーク隔離を優先し、組織のインシデント対応手順やフォレンジック担当者と連携してください。
- 不審な画面・通知・操作結果を撮影します。
- 認証・クラウド・サーバーなどの原本ログを取得します。
- 取得データのSHA-256を記録します。
- 取得日時・取得者・取得元を台帳へ記録します。
- 発覚から初動対応までをタイムライン化します。
- 侵害端末は不用意に再起動・初期化しません。
Windowsで不正アクセスの証拠として確認するログ
Windows環境では、ログオン、PowerShell、RDP、プロセス実行、アカウント変更など複数のイベントを組み合わせて確認します。
Securityログ
ログオン成功・失敗、明示的な資格情報利用、特権ログオン、ユーザー・グループ変更などを確認します。
代表的には4624、4625、4648、4672、4720、4728、4732などのイベントが調査対象になります。
RDP関連ログ
TerminalServices関連ログやRemoteConnectionManager、Firewallログなどから、RDPによる接続履歴を確認します。
PowerShellログ
PowerShell Operationalログの4103、4104などから、実行されたスクリプトやコマンドを確認できる場合があります。
Sysmon・EDRログ
Process Create、Network Connect、File Create、DNS Query、Registry、WMIなどの記録から、不審なプロセス実行と通信を追跡します。
EDRではプロセスツリー、検知履歴、ネットワーク接続、隔離操作なども保存します。
永続化・スタートアップ設定
タスクスケジューラ、サービス、Runキー、スタートアップなどを確認し、攻撃者が再起動後もアクセスを維持する仕組みを追加していないか調べます。
Microsoft 365・Entra IDで不正アクセスの証拠として確認するログ
Microsoft 365環境では、Entra IDの認証ログだけでなく、ExchangeやSharePoint、OneDrive、OAuthなども確認する必要があります。
Entra IDのサインインログ
送信元IP、位置情報、クライアント、端末、MFA、Conditional Access、失敗理由などを確認します。
普段利用していない地域や端末からの成功ログイン、不自然なMFA挙動などが重要な手掛かりになります。
Unified Audit Log
メールボックスアクセス、ファイル共有、ダウンロード、管理操作などを確認します。
認証後に何が行われたかを把握するうえで重要です。
メール転送・Inbox Rule
攻撃者はメールを継続的に監視するため、自動転送や受信トレイルールを追加する場合があります。
作成日時、実行アカウント、転送先などを記録します。
OAuth・サービスプリンシパル
不審なOAuthアプリ同意、サービスプリンシパル、管理者ロール変更、認証方式の変更などを確認します。
メール原文・メッセージトレース
フィッシングメールなどが関係している場合は、.eml形式でメール原文を保存し、完全なメールヘッダーも保全します。
Linux・ネットワークで不正アクセスの証拠として確認するログ
Linuxサーバーやネットワーク機器では、認証・管理操作・通信のログを組み合わせて確認します。
SSH・認証ログ
/var/log/auth.log、secure、journalctl、wtmp、btmpなどから、SSHログインや認証失敗を確認します。
Web・sudo・cronの記録
Webサーバーのaccess/error log、sudo履歴、cron、systemd timer、authorized_keysなどを確認します。
新しいSSH鍵や永続化設定が追加されていないかも重要です。
Firewall・VPN・DNS・Proxy
Firewall、VPN、DNS、Proxy、DHCP、NetFlowなどから、侵害端末がどこへ通信したのかを確認します。
PCAPが保存されている場合は、対象期間の通信内容をより詳しく調査できることがあります。
クラウドIAM・監査ログ
クラウド環境では、IAM操作、アクセスキー・トークン作成、ストレージアクセス、管理設定変更なども確認します。
不正アクセスの証拠能力を落とす行為
証拠を集めても、保存方法や操作によっては真正性や再現性を説明しにくくなる場合があります。
原本ログを編集して上書きする
CSVログをExcelで開き、そのまま上書きすると、ファイル内容やメタデータが変更されることがあります。
原本はそのまま保管し、分析用コピーを作成してください。
編集済みデータしか残さない
見やすく加工した表やレポートだけでは、元のログへ遡れなくなる場合があります。
加工前の原本を必ず残します。
侵害端末を再起動・初期化する
再起動や初期化によって、メモリ、プロセス、通信、ログなどの痕跡が失われる可能性があります。
時刻・タイムゾーンを記録しない
JST、UTC、クラウドサービス独自の時刻表示が混在すると、後から正確な時系列を作れなくなる可能性があります。
アカウント削除を先に行う
攻撃者が作成した不審アカウントをすぐ削除すると、そのアカウントに関係する監査情報を確認しにくくなる場合があります。
被害拡大防止のため無効化が必要な場合でも、可能な範囲で設定やログを先に記録します。
IPアドレスだけで実行者を断定する
不審IPは有力な手掛かりですが、それだけで実行者本人を特定できるとは限りません。
認証情報、端末ID、セッション、操作ログ、被害結果などを組み合わせて判断します。
「復旧を急ぐこと」と「証拠を残すこと」を両立させる
不正アクセス発覚後は、被害拡大を止める必要があります。一方、復旧だけを優先すると調査に必要な証拠を失う可能性があります。
ネットワーク隔離やアカウント無効化を行いつつ、変更前の状態や原本ログを残すことが重要です。
不正アクセスの証拠を管理する台帳の作り方
複数のログや端末を扱う場合は、「どの証拠を誰がいつ取得したのか」を一覧化しておくと、チェーン・オブ・カストディを説明しやすくなります。
Evidence ID: 取得日時（JST/UTC）: 取得者: 取得元（テナント／ホスト名／機器名／URL）: 対象期間: 取得方法・使用ツール・バージョン: 原本ファイル名・形式: SHA-256: 保管場所: アクセス権者: 内容の要約: 関連インシデント番号:
たとえばEntra IDで不審な成功ログインがあった場合は、そのログだけを単独で保存するのではなく、同じIPやセッションIDをキーに、メール転送ルール作成、SharePointのダウンロード、EDR上の認証情報窃取痕跡などへつなげて確認します。
このように、複数の証拠を時系列で結びつけることで、「ログインがあった」だけでなく、「ログイン後に何が行われ、どの範囲まで被害が広がったか」を説明しやすくなります。
不正アクセスの証拠をフォレンジック調査で確認する方法
不正アクセスの調査では、スクリーンショットや単一のログだけでは、侵入経路や影響範囲を十分に説明できない場合があります。
侵入に利用されたアカウント・端末
認証ログ、端末ID、MFA結果、EDRなどを照合し、どのアカウントや端末が侵害の起点になった可能性があるのかを整理します。
不正アクセスの侵入経路
VPN、不正ログイン、脆弱性、フィッシング、マルウェアなど、どの経路から侵入した可能性があるのかを調査します。
侵入後に実行された操作
管理者追加、メール転送、ファイルダウンロード、権限変更、設定改変などを時系列で確認します。
情報漏えい・持ち出しの可能性
Proxy、Firewall、クラウド監査ログ、ファイル操作ログなどから、外部へのデータ送信や大量ダウンロードがなかったかを確認します。
他システムへの横展開
侵害されたアカウントや端末を起点に、他のサーバー、クラウド、SaaSへ不正アクセスが広がっていないか確認します。
不正アクセスの証拠保全をフォレンジック調査会社に相談する
不正アクセスの証拠を残すには、単にログをダウンロードすればよいわけではありません。取得日時や取得元、ハッシュ値を記録し、原本と分析用コピーを分離しながら、複数のログを時系列で関連付ける必要があります。
また、侵害端末の再起動、ウイルス駆除、アカウント削除、ログ編集などを先に行うと、侵入経路や不正操作を確認する証拠が失われる恐れがあります。
警察への被害申告、訴訟、取引先への説明、個人情報漏えい対応などを見据えている場合は、初動段階から証拠保全を意識し、必要に応じてフォレンジック調査会社へ相談することをおすすめします。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
不正アクセスの証拠では、「怪しい画面があった」という情報だけでなく、誰が・いつ・どこから・どのアカウントや端末へアクセスし、何を行ったのかを再現できる記録を残すことが重要です。
認証ログ、クラウド監査ログ、Firewall・VPN・DNS、EDR、端末ログ、メール原文などを原本形式で取得し、SHA-256、取得日時、取得者、取得元などを記録してください。原本は変更せず、分析はコピーで行います。
また、侵害端末の再起動や初期化、アカウント削除、ログの上書きなどを先に行うと、証拠が失われることがあります。警察相談や法的対応、情報漏えいの説明責任を見据える場合は、証拠を保全した状態でフォレンジック調査を行い、侵入経路と被害範囲を確認することが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
